説明
HTTP で送るログイン情報、セッション Cookie、ユーザー入力は、観察や改ざんの対象になり得ます。App Service の https_only = true は HTTP 要求を HTTPS にリダイレクトします。最初の HTTP 要求自体を暗号化するものではないため、クライアントも最初から HTTPS を使う必要があります。
想定される影響
平文 HTTP は、転送中の情報漏えい、要求の改ざん、セッションの窃取につながる可能性があります。
対処方法
https_only = true を設定し、アプリのリンク、API クライアント、リダイレクトで HTTPS を使ってください。証明書、最小 TLS バージョン、安全な Cookie 設定、適切な HSTS 方針も確認してください。機密情報を先に HTTP で送らないことを試験してください。
例
AzureRM 3.x の従来の azurerm_app_service の例です。現在の Linux・Windows Web App リソースも https_only に対応しています。
変更前
hcl
resource "azurerm_app_service" "example" {
name = "example-app-service"
location = azurerm_resource_group.example.location
resource_group_name = azurerm_resource_group.example.name
app_service_plan_id = azurerm_app_service_plan.example.id
site_config {
dotnet_framework_version = "v4.0"
scm_type = "LocalGit"
}
https_only = false
}
変更後
hcl
resource "azurerm_app_service" "example" {
name = "example-app-service"
location = azurerm_resource_group.example.location
resource_group_name = azurerm_resource_group.example.name
app_service_plan_id = azurerm_app_service_plan.example.id
site_config {
dotnet_framework_version = "v4.0"
scm_type = "LocalGit"
}
https_only = true
}
変更後は HTTP 要求を HTTPS にリダイレクトします。ユーザー認証や認可を代替する設定ではありません。