4-4 必ず封をする（Always Use HTTPS・Minimum TLS・HSTS）
身分証（証明書）がそろっても、お客さんがはがき（http）で来たら、その往復は読まれてしまいます。窓口（Cloudflare）は「この封筒に入れて出し直してください」と案内します。
いま読んでいるこのサイト（Cloudflare Lab）でも、http:// で開かれたら https:// へ送り直したい。この節はそのための三つの設定です。
ここでは、出し直しの案内、古い封筒の断り方、覚えてもらう仕組み、その注意の順に見ます。
Learning goals
この節でできるようになること
- Always Use HTTPS が何をするかを説明できる
- Minimum TLS Version の役割を説明できる
- HSTS が何を防ぎ、なぜ戻しにくいかを説明できる
- 三つを設定する順番と注意点を言える
1. 封筒で出し直してもらう（Always Use HTTPS）
Section titled “1. 封筒で出し直してもらう（Always Use HTTPS）”はがきで来たお客さんに、その場で封筒を渡して「これに入れて出し直してください」と案内します。本社（origin server）側に案内係を置く必要はありません。
Cloudflare では、この案内を Always Use HTTPS と呼びます。公式は「すべての subdomain とホストについて、訪問者の http の要求を https へリダイレクトする」と書いています。本社側でリダイレクトを設定する必要はありません。
実物では、encryption mode が Off でないことを確かめてから、Edge Certificates の画面でオンにします。
はがきで来たお客さんが、封筒に入れ直して同じ窓口へ出し直しています。案内するのは窓口なので、本社は関係しません。
つまり、Always Use HTTPS は「http で来たら https へ送り直す」設定です。
2. 古い型式の封筒を断る（Minimum TLS Version）
Section titled “2. 古い型式の封筒を断る（Minimum TLS Version）”封筒にも型式があります。古い型式の封筒は開けやすく、守りになりません。窓口は「この型式以上の封筒だけ受け付けます」と決められます。
Cloudflare では、この決まりを Minimum TLS Version と呼びます。公式は、指定した版以上の TLS に対応する訪問者だけ接続を許す設定で、TLS 1.0・1.1・1.2・1.3 から選べると書いています。Free plan でも使えます。
実物では、Edge Certificates の画面で選びます。古い端末を切り捨てる設定でもあるので、対象のお客さんを考えて決めます。
古い型式の封筒は窓口で断られ、新しい型式だけが通ります。断る境目を自分で決めます。
つまり、Minimum TLS Version は「受け付ける封筒の型式の下限」です。
3. 「この店には必ず封筒で」と覚えてもらう（HSTS）
Section titled “3. 「この店には必ず封筒で」と覚えてもらう（HSTS）”出し直しの案内は毎回起きます。最初の 1 通だけでも、はがきが途中で読まれたり、偽の窓口へ案内されたりする隙があります。そこで、お客さんに「この店には今後必ず封筒で」と覚えてもらいます。
Cloudflare では、この仕組みを HTTP Strict Transport Security（HSTS） と呼びます。公式は、HSTS は HTTPS のサーバーを downgrade attack（封を外させる攻撃）から守り、ブラウザに http のリンクを https に変え、証明書の警告を無視させない指示を出すと書いています。
実物では、Edge Certificates の画面で Enable HSTS を選び、注意文を読んで同意し、Max Age（覚えている期間）などを設定します。公式の推奨は Max Age を 1〜12 か月です。
お客さんが自分の手帳に「この店は必ず封筒で」と書き留めます。次からは、はがきを出そうとしても自分で封筒に入れ直します。
つまり、HSTS は「お客さん側に封筒を覚えてもらう」仕組みです。
4. 順番と注意
Section titled “4. 順番と注意”覚えてもらった後で窓口が封筒を受け付けなくなると、お客さんは「封筒でしか出せないのに、その封筒が受け付けられない」状態になり、店とやり取りできなくなります。
公式は強く警告しています。HSTS を無効にする前、または Max Age の期間が過ぎる前に HTTPS をやめると、サイトにアクセスできなくなる、と。避けるべき操作として、DNS を proxied から DNS-only へ変える、Cloudflare を一時停止する、nameserver を変える、HTTPS を HTTP へリダイレクトする、SSL を無効にする、が挙げられています。
実物では、順番は「HTTPS が動いている（4-2）→ Always Use HTTPS（4-4 の 1）→ 様子を見て HSTS」です。HSTS は最後に、戻す予定が無いことを確かめてから入れます。
三段の階段です。一番上の HSTS に上がると、下に降りるには覚えてもらった期間が過ぎるのを待ちます。
つまり、HSTS は「戻さない」と決めてから入れる設定です。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した三つの設定が、いま読んでいる Cloudflare Lab でどう使われるかを見ます。
Cloudflare Lab は、店名の看板を掛けた後、Always Use HTTPS をオンにし、curl -sI http://<店名>/ が https:// への送り直し（3xx の応答と location ヘッダ）を返すことを実測します。Minimum TLS Version は TLS 1.2 を候補にし、HSTS は Max Age を短めにして様子を見てから、と段階を分けます。実測値は設定後に追記します。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- Always Use HTTPS は http を https へ送り直し、本社側の設定は不要です。
- Minimum TLS Version は受け付ける封筒の型式の下限です。
- HSTS はお客さん側に封筒を覚えてもらう設定で、戻しにくいので最後に入れます。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: HTTPS が動いている / 封筒で出し直してもらう Always Use HTTPS / 古い封筒を断る Minimum TLS Version / 必ず封筒と覚えてもらう HSTS / 戻しにくい Max Age 1〜12 か月
次の章では、封の次に「速さ」を扱い、窓口の棚（キャッシュ）の決まりを整えます。
この節のチェック
© 2026 osdse