ASP.NET MVC: HTTPSリダイレクトとHSTS設定

 ASP.NET MVCを使ったWebアプリでの、セキュリティ処置をしておく。処置は全ページでのHTTPSへのリダイレクトと、HSTS(ブラウザにHTTPSアクセスを強制するもの)の設定。

 web.configを開いて適切な場所に下記を追加。
 
<system.webServer>


<rewrite>
<rules>
<rule name="HTTP to HTTPS redirect" stopProcessing="true">
<match url="(.*)" />
<conditions>
<add input="{HTTPS}" pattern="off" ignoreCase="true" />
</conditions>
<action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
redirectType="Permanent" />
</rule>
</rules>
<outboundRules>
<rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
<match serverVariable="RESPONSE_Strict_Transport_Security"
pattern=".*" />
<conditions>
<add input="{HTTPS}" pattern="on" ignoreCase="true" />
</conditions>
<action type="Rewrite" value="max-age=31536000" />
</rule>
</outboundRules>
</rewrite>

<handlers>


http://www.hanselman.com/blog/HowToEnableHTTPStrictTransportSecurityHSTSInIIS7.aspx
 上記の場所にあったコードをいただいた。HSTSをHTTPSアクセスにしか返さないようにしているが、これは仕様上の正しい実装になっているらしい。HSTS仕様を確認したところ、確かに、HSTS設定されたヘッダはセキュアな通信で返送してねと書かれていた。
comment: 0