12. 3ドメインで主要なHTTPセキュリティヘッダが設定されていない
| 項目 | 内容 |
|---|---|
| カテゴリー | セキュリティ |
| 対象 | サイト全般 |
| セグメント | 共通 |
| 重要度 | 高 |
| 対応コスト | 中 |
課題の概要
公開サイト（jilla.or.jp）、会員マイページ（my.jilla.or.jp）、入会フォーム（dynamic.jilla.or.jp）の3ドメインすべてで、ウェブサイトの基本的な防御層となるHTTPセキュリティヘッダが設定されていません。特に会員の個人情報を扱うマイページと、入会希望者の個人情報を受け付ける入会フォームにおいて、現在のウェブサイトで標準的とされる防御設定が入っていない状態です。
根拠
- 3ドメインともに、Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policyのいずれも設定されていません
- 特に会員情報を扱うmy.jilla.or.jpと入会フォームのdynamic.jilla.or.jpでは、クリックジャッキング（偽装画面によるクリックの誘導）、MIMEスニッフィング、XSS（悪意あるスクリプトの埋め込み）、リファラ経由の情報漏れに対する基本的な防御層がありません
- あわせて、サーバーの応答にApacheのバージョン情報（Apache/2.4.62、OpenSSL/3.2.2）が露出しており、既知の脆弱性を持つバージョンだった場合に攻撃の手がかりになります
影響
直ちに被害が発生しているわけではありませんが、会員の個人情報・入会希望者の個人情報を扱う協会サイトとして、標準的な防御層を欠いた状態が続くこと自体がリスクです。万一の事故の際には「基本的な対策を講じていたか」が問われるため、対策の不在は協会の管理責任の観点でも不利に働きます。設定作業自体はサーバー側の構成変更が中心で、画面や機能への影響は限定的です。
改善の方向性
3ドメインのサーバー設定に主要なセキュリティヘッダを段階的に導入します。影響の少ないX-Content-Type-Options、X-Frame-Options、Referrer-Policyから先行して設定し、サイトの表示に影響しうるContent-Security-PolicyとStrict-Transport-Securityは動作確認を挟みながら適用します。あわせてサーバーのバージョン情報の露出を止める設定を行います。リニューアル時には、ホスティング環境の選定要件としてこれらが標準で満たされることを条件に含めることを提案します。