HSTS と Wordpress の www および non-www および https へのリダイレクト - 複数のリダイレクトを回避しますか?

Question

要約すると、HSTS の主な要件は次のとおりです。

HTTP から HTTPS へのリダイレクト同じホスト上. つまりhttp://example.com、https://example.com そして http://www.example.comにhttps://www.example.com
HTTPS のみで正規のホスト名 (www または非 www) にリダイレクトします。 (つまり、上記の #1 の後)
HTTPS の場合のみ、(STS) HTTP 応答ヘッダーを送信しますStrict-Transport-Security。正規のリダイレクト (上記の #2) を含みます。

（いくつかの情報源ではSTSヘッダーはのみHTTPS 経由で送信することはできず、プレーン HTTP 経由で送信することも完全に無効ですが、私はそうではないと考えています。仕様は、UA が HTTP 経由で送信する場合、このヘッダーを単に無視する必要があると述べているため、これを HTTP 経由で送信しても「問題」にはなりません。ただし、これを HTTPS 経由でのみ送信するのはそれほど手間がかかりません。以下では、これをそのように実装しました。

つまり、上記の #1 に違反する可能性があるため、1 回のリダイレクトでリクエスト (HTTP / HTTPS / www / non-www) を必ずしも正規化できるわけではありません。

また、投稿したコードでは STS ヘッダーを設定していないようです。Apache (サーバー構成または.htaccess) でリダイレクトを実装している場合、WordPress を使用してこのヘッダーを設定することはできません。そうしているのですか?

グーグルで検索してみたところ、htaccessを使った解決策のように見えるこのリンクを見つけました。

その「解決策」は HSTS を実装していません。その記事の唯一の目的は、リクエストを単一のリダイレクトで正規化することです。その記事の先頭にある「警告」は、それが HSTS に違反していることを明示的に伝えています。

また、ディレクティブの順序も間違っています。これらの「リダイレクト」ディレクティブは前にWordPressのフロントコントローラで処理されないと、WordPressのバーチャルURL。

正規のホスト名はであると想定していますwww.example.com。(質問のタイトルでは非 www へのリダイレクトについて言及していますが、質問の残りの部分では www にリダイレクトしていますか?)

VirtualHosts 構成ファイルを使用しようとしましたが、うまくいきませんでした。

ただし、これをサーバー構成で実装する (別の VirtualHost を使用する) 方が、より簡単でエラーも少なく、効率的であると言えます。

たとえば (「その他の」必要なディレクティブは省略) :

<VirtualHost *:80>
    ServerName example.com
    # Redirect to HTTPS - same host
    Redirect 301 / https://example.com/
</VirtualHost>

<VirtualHost *:80>
    ServerName www.example.com
    # Redirect to HTTPS - same host
    Redirect 301 / https://www.example.com/
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    # Redirect to canonical host (HTTPS only)
    Redirect 301 / https://www.example.com/

    # SSL directives...

    # Set STS header on the HTTPS redirect ("always" argument is required for this)
    Header always set Strict-Transport-Security "max-age=2592000; includeSubDomains"
</VirtualHost>

<VirtualHost *:443>
    # Canonical host
    ServerName www.example.com

    # SSL directives...
    # etc.    

    # Set STS header on the HTTPS response
    Header always set Strict-Transport-Security "max-age=2592000; includeSubDomains"
</VirtualHost>

上記の STS ヘッダーは、max-age1 か月間のパラメータのみを設定し、preloadパラメータは含まれていないことに注意してください。意図している場合は、HSTS プリロードリストの「展開要件」に記載されている指示に必ず従ってください。https://hstspreload.org/#deployment-recommendations

あるいはこれを実装するには.htaccess

(注意: 「末尾のスラッシュ」リダイレクトは実装していません。これは要件で言及されておらず、単に外部記事からコピーされたコードの一部であるためです。)

# Set HSTS env var only if HTTPS
RewriteCond %{HTTPS} on
RewriteRule ^ - [E=HSTS:1]

# Redirect HTTP to HTTPS on the same host
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

# Redirect non-www to www (HTTPS only)
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^ https://www.%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

# Set HSTS header conditionally if request is over HTTPS only (based on HSTS env var)
Header always set Strict-Transport-Security "max-age=2592000; includeSubDomains" env=HSTS

# Yoast SEO - XML Sitemap Rewrite Fix
# : (directives go here...)
# END Yoast SEO - XML Sitemap Rewrite Fix

# BEGIN WordPress
# : (directives go here...)
# END WordPress

ディレクティブには条件alwaysが必要なHeaderので、ヘッダーは 200 OK 以外の応答に設定されます。つまり、非 www から www への HTTPS 301 リダイレクトに設定する必要があります。

参照私の答えCodeReview SE の HSTS の実装に関する次の質問に対して.htaccess:

https://codereview.stackexchange.com/questions/250805/hsts-recommendations-in-htaccess

Answer 1