SSL/TLS

SSL/TLS の設定は、サイト詳細ページの SSL/TLS タブ（/cdn/domains/<domain>/ssl）にあります。CDN の HTTPS 通信には、次の 2 つの接続があります。

• 訪問者 ↔ エッジ: ホスト名ごとに配置されたエッジ証明書を使用します。無料の自動証明書、またはアップロードした証明書を利用できます。
• エッジ ↔ オリジン: 暗号化モードとホスト名のオリジンプロトコルによって、この接続を暗号化するか、オリジン証明書を検証するかが決まります。

#エッジ証明書の配置

エッジ証明書管理テーブルには、サイトのすべてのホスト名と、それぞれの SSL 状態、発行者、有効期限が表示されます。証明書を管理をクリックすると、証明書ダイアログが開きます。証明書を追加する方法は 3 つあります。

#方法 1: 無料の自動証明書（Let's Encrypt）

1. CNAME またはネームサーバーの設定により、ホスト名の DNS がすでに CDN を参照していることを確認します。検証には HTTP-01 を使用するため、エッジが Let's Encrypt の検証リクエストに応答できる必要があります。
2. **自動証明書（Let's Encrypt）**タブで HTTP-01 検証をクリックします。
3. ダイアログには、処理待ち（待機中）、ドメインを検証中、証明書を発行中（証明書発行中）の 3 段階で進行状況が表示されます。完了すると、状態が 発行済みになります。失敗した場合は、証明書の申請に失敗しましたとその理由が表示されます。

自動証明書の有効期間は 90 日です。有効期限が切れる前に自動で更新され、エッジに再配置されるため、操作は不要です。証明書が存在する場合、ボタンは 証明書を更新となり、期限前に手動で更新できます。

#方法 2: カスタム証明書をアップロードする

1. カスタム証明書タブに切り替えます。
2. **証明書（PEM 形式）**に証明書を貼り付けます。サーバー証明書を先頭に、その後に中間証明書を続けて、完全なチェーンを含めてください。
3. **秘密鍵（PEM 形式）**に、対応する秘密鍵を貼り付けます。
4. 証明書をアップロードをクリックします。状態が カスタム証明書に変わります。

カスタム証明書は自動更新されません。現在の証明書の有効期限が切れる前に、新しい証明書をアップロードしてください。

#方法 3: 証明書ライブラリから配置する

Yeap Cloud の SSL 証明書サービスで証明書を購入または保存している場合は、証明書フォルダータブで選択できます。ホスト名をカバーするワイルドカード証明書を含め、そのホスト名に一致する証明書が表示されます。配置する証明書を選択してください。

#暗号化モード（エッジからオリジン）

SSL/TLS 暗号化モードカードでモードを選択し、保存をクリックします。

このモードと他の設定の関係は次のとおりです。

• この表は、オリジンプロトコルが 自動のホスト名に適用されます。オリジンタブでオリジンプロトコルを HTTP または HTTPS に明示的に設定した場合は、そのプロトコルが優先されます。フル・厳格モードでは、エッジが HTTPS でオリジンに接続する場合にのみ証明書を検証します。
• 訪問者が HTTPS でエッジに接続できるかどうかは、そのホスト名にエッジ証明書があるかどうかだけで決まります。暗号化モードによっては変わりません。
• オフまたはフレキシブルに切り替えると、エッジとオリジン間の通信が暗号化されなくなるため、確認が求められます。
• フル・厳格モードでは、オリジン証明書が無効、有効期限切れ、またはドメインと不一致の場合、オリジンへのリクエストが失敗します。
• オリジンへの HTTP/2 接続には HTTPS が必要なため、オフおよびフレキシブルモードではエッジが HTTP/1.1 にフォールバックします。

#HTTPS の強制

HTTPS 設定カードで HTTPS の強制を有効にすると、すべての HTTP リクエストを 301 で同じ URL の HTTPS にリダイレクトします。これは訪問者の接続方法を制御する設定で、オリジンプロトコルは変更しません。

有効にする前に、サイトのすべてのホスト名に有効なエッジ証明書があることを確認してください。証明書がない場合、訪問者に証明書エラーが表示されます。

#HSTS とセキュリティヘッダー

HSTS とセキュリティレスポンスヘッダーカードの設定は、エッジから訪問者に送信するレスポンスに追加されます。変更後は、カード右上の 保存をクリックしてください。

#HSTS（HTTP Strict Transport Security）

#その他のセキュリティヘッダー

• X-Frame-Options: SAMEORIGIN または DENY を指定し、クリックジャッキングを防止します。
• Referrer-Policy: リストからポリシーを選択します。
• X-Content-Type-Options: nosniff: ブラウザーによる MIME スニッフィングを防止します。
• Content-Security-Policy (CSP): 完全なポリシーを入力します。空欄にすると CSP ヘッダーを送信しません。

これら 4 つのヘッダーは、セキュリティレスポンスヘッダースイッチが有効な場合にのみ適用されます。

#CORS とカスタムヘッダー

• **CORS（オリジン間リソース共有）**では、次の項目を設定できます。

  • 許可するオリジン（1 行に 1 つ。* はすべてのオリジンを意味します）
  • 許可するメソッド
  • 許可するリクエストヘッダー
  • 公開するレスポンスヘッダー
  • 認証情報を許可するかどうか
  • プリフライトの max-age

  オリジンに * を指定した場合、認証情報は許可できません。

• カスタムレスポンスヘッダー: set は同名のヘッダーを上書きし、add は値を追加します（繰り返し指定可能）。remove は X-Powered-By などのヘッダーを削除します。

#Origin CA 証明書

Origin CA 証明書は、プラットフォームが発行し、オリジンサーバーにインストールしてエッジからオリジンへの接続を暗号化する証明書です。Yeap Cloud CDN のみが使用するもので、ブラウザーは信頼しないため、訪問者向けの証明書としては使用しないでください。

発行するには、次の手順で操作します。

1. Origin CA 証明書カードで 証明書を発行をクリックします。
2. ダイアログに入力します。
   • ドメイン (SANs): デフォルトは example.com と *.example.com です。
   • キーの種類: ECC P-256（推奨）、RSA 2048、RSA 4096 から選択します。
   • 有効期限: 7 日から 15 年です。デフォルトは 15 年です。
3. 証明書と秘密鍵をすぐにコピーして保管してください。**秘密鍵は一度しか表示されません。**ダイアログを閉じると、再表示できません。
4. オリジンの Web サーバーに証明書と鍵をインストールします。
5. サイトの暗号化モードを フルに設定します。

オリジンで CA チェーンが必要な場合は、CA ルート証明書をダウンロードをクリックしてください。証明書一覧では、証明書の表示、失効、削除ができます。

#関連項目

• ホスト名とオリジンプロトコル: サイトの追加
• 特定のパスで HTTPS リダイレクトやオリジンの暗号化を上書きする: ページルール