「HTTPS化されたe-Govサイト、HTTPでのアクセスはすべてアナウンスページに転送する残念な仕様」記事へのコメント

結局どれがベストなんです？

[Anonymous Coward]

• 非リダイレクト派
  • あえてどちらでも利用できるようにして利用者に委ねる [twitter.com]
• リダイレクト派
  • HSTSのみ
  • HSTSと以下との併用
  • HTTPSページへリダイレクト
  • 警告ページへリダイレクト（←e-Govはこれ）

• HTTPリダイレクト
  • 301 Moved Permanently
  • 302 Moved Temporarily（←e-Govはこれ）
  • 307 Temporary Redirect
• HTMLリダイレクト

Re:結局どれがベストなんです？

[minet (45149)]

HSTSとリダイレクトを併用でステータスコードは301。
なおかつ、htmlを返していたURLについては、レスポンス本文にhtmlでmetaタグでのリフレッシュとjavascriptでのページ移動をhead内に書いておき、さらにbody内にも新URLへのリンクを記載。
やりすぎ？

Re:

[Anonymous Coward]

なぜ Moved Temporarily? 将来戻す気はないんだろう?

Re:

[Anonymous Coward]

バカだから。

Re:

[Anonymous Coward]

User-agentを検出して、SSL非対応なら「別のブラウザを使ってください」とアナウンスしては。
Mozilla黎明期のような、太古のやり方が復活。

Re:

[Anonymous Coward]

利用者側の利便性を無視して良いという条件付きで、

HSTS ＆ Preload登録 ＆ Post80ダウン

これだと、そのサイトにhttp:// での接続が不可能になるので、
sslstrip等の中間者攻撃の対策が可能。

1回でもhttp:// の通信があると、その時、間に入られると、
レスポンスの改ざんが可能となって、それ以降どこにリンクしていくかすべて怪しくなってしまう。

Re:

[Anonymous Coward]

301を返すと実装によっては検索結果やブックマークがsorry.htmlに変わってしまってしまう可能性が

Re:

[Anonymous Coward]

リダイレクトで308 Permanent Redirect派もいるはず。本当にいるの？と思っていたけど、Nginx ingressがHTTPSリダイレクトのデフォルト設定にしているので、世の中探せば使われているところを発見できるに違いないと今は思っている。