説明
Azure Web App で https_only を無効にすると、アプリケーションに HTTP で接続できます。HTTPS Only を有効にすると、HTTP 要求は HTTPS にリダイレクトされます。
想定される影響
HTTP の要求や応答に含まれる機密データが漏えいしたり改ざんされたりするおそれがあります。後からリダイレクトしても、送信済みの平文の要求は保護できません。
対処方法
https_only を true にし、ユーザー向けリンクやクライアント URL も最初から HTTPS を使用してください。カスタムドメインの証明書とリダイレクト動作を確認してください。
例
この例は HTTPS Only の設定だけを比較しています。証明書のバインドとアプリケーションの配置は別途行います。
変更前
yaml
- name: Web App 생성
azure_rm_webapp:
resource_group: myResourceGroup
name: myWinWebapp
https_only: false
plan:
resource_group: myAppServicePlan_rg
name: myAppServicePlan
is_linux: false
sku: S1
変更後
yaml
- name: Web App 생성
azure_rm_webapp:
resource_group: myResourceGroup
name: myWinWebapp
https_only: true
plan:
resource_group: myAppServicePlan_rg
name: myAppServicePlan
is_linux: false
sku: S1