「HTTPS化されたe-Govサイト、HTTPでのアクセスはすべてアナウンスページに転送する残念な仕様」記事へのコメント

結局どれがベストなんです？

[Anonymous Coward]

• 非リダイレクト派
  • あえてどちらでも利用できるようにして利用者に委ねる [twitter.com]
• リダイレクト派
  • HSTSのみ
  • HSTSと以下との併用
  • HTTPSページへリダイレクト
  • 警告ページへリダイレクト（←e-Govはこれ）

• HTTPリダイレクト
  • 301 Moved Permanently
  • 302 Moved Temporarily（←e-Govはこれ）
  • 307 Temporary Redirect
• HTMLリダイレクト

Re:結局どれがベストなんです？

[Anonymous Coward]

利用者側の利便性を無視して良いという条件付きで、

HSTS ＆ Preload登録 ＆ Post80ダウン

これだと、そのサイトにhttp:// での接続が不可能になるので、
sslstrip等の中間者攻撃の対策が可能。

1回でもhttp:// の通信があると、その時、間に入られると、
レスポンスの改ざんが可能となって、それ以降どこにリンクしていくかすべて怪しくなってしまう。