T.Ozakiの日記： メガバンク＋ネット専業銀行のSSL対応状況（2018年5月版）

前回の2017年11月実施分はこちら。
評価基準は以下の通り。

---+------------------------------------------------------------
AAA|常時SSL HSTS Preload登録済
AA |常時SSL HSTS設定（Preload未登録）
A　|常時SSL（HTTPからはリダイレクト転送）
A- |ランクA以上だが、設定にセキュリティ上の問題がある
---+------------------------------------------------------------
B　|SSL/非SSL共に同一コンテンツでアクセス可能
B- |ランクBだが、設定にセキュリティ上の問題がある
---+------------------------------------------------------------
C　|SSLは正しく設定されているが、コンテンツなし
---+------------------------------------------------------------
D　|SSLは設定されているが、金融機関のサイトとして不適切な設定
　 |（OV証明書が使用されている）
---+------------------------------------------------------------
E　|CDNの証明書が呼び出される等、SSL証明書が正しく設定されていない
　 |（コンテンツアクセス不可は"F"判定とする）
---+------------------------------------------------------------
F　|問題外（SSLが設定されていない、SHA-1 EV証明書、DV証明書が使用されている等）
---+------------------------------------------------------------

Symantecの証明書関連については今回は "A-"/"B-"/"D" 判定に、次回(2018/11予定)が "F" 判定とする予定です。

みずほ

2016.10.23より301リダイレクトによる常時SSL (A)

三菱UFJ

akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で非SSLサイトに301リダイレクト (F)

三井住友

EV SSLだが404 Not Found (C)

りそな／埼玉りそな

EV SSLだが403 Forbidden。Symantec証明書のため評価ダウン (C⇒D)

ジャパンネット

HTTP/HTTPS共に同一コンテンツ (F⇒B)

セブン

301リダイレクトによる常時SSL。但しOV証明書 (E⇒D)

ソニー

akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で504 Gateway Time-out (F)

楽天

301リダイレクトによる常時SSL化。Symantec証明書のため評価ダウン (A⇒A-)

住信SBI

常時SSL。非SSLからは302リダイレクト(!)。Symantec証明書のため評価ダウン (A⇒A-)

じぶん

HSTSによる常時SSL (B⇒AA)

イオン

301リダイレクトによる常時SSL。但しOV証明書 (B-⇒D)

大和ネクスト

EV SSLだが404 Not Found。Symantec証明書のため評価ダウン (C⇒D)

ゆうちょ

2018.2.26より301リダイレクトによる常時SSL化。残念ながらOV証明書 (F⇒D)

今回Symantec証明書使用による評価ダウンが若干ありましたが、ジャパンネット銀行がHTTP/HTTPS共通コンテンツとは言え評価アップ。
セブン銀行、イオン銀行、ゆうちょ銀行が常時SSL化しましたが、OV証明書なのが残念なところ。
最高評価はじぶん銀行。HSTS対応ということで初のAA獲得です。

面白いところではイオン銀行がHTTP/2.0になっていました。

…楽天銀行…有効期限2019.4.1ってなってるけど、10月までにちゃんとDigiCertで証明書の再発行手続きするんだよね…？

あと、みずほ銀行がトップに動画をデンと置きやがった＆Script OFFだとコンテンツ表示されないってのには個人的にムカついた。