HTTPSを使うなら“HSTS”と“HSTSプリロード”でセキュリティを高めよう など10+4記事

HTTPSを使うなら“HSTS”と“HSTSプリロード”でセキュリティを高めよう [6]
★★☆☆☆ サイトをHTTPS化したらこちらもご一緒に （Ilya Grigorik on Google+）

illustration by つきのあめだま [7]

グーグルがHTTPS（SSL/TLS）を使っているページの評価を高めることを発表した。この件については国内情報の1つ目で紹介しているが、今週のピックアップでは、サイトをHTTPS化するなら、知っておきたい仕組み「HSTS」と「プリロードHSTS」の2つを紹介する。

HSTS

HSTS（HTTP Strict Transport Security） [8]という仕組みがある。簡単にいうと、次のような仕組みだ。

「このサイトにはHTTPではなくHTTPSで必ず接続するように」と、サーバーがブラウザに指示するHTTPヘッダー。この指示を受け取ったブラウザは、その情報を記録しておき、以降は、そのサイトに対してアクセスするのにHTTPを使わず自動的にHTTPSで接続するようにする。

たとえHTTPSでサイトを構成していたとしても、通信を傍受されたりフィッシング詐欺に遭ったりする危険性がある（特に無線LANなどの環境で）。これを防ぐのにHSTSを利用できる。

グーグルは、HTTPSをランキング要因に組み込んだことを発表した際に、「サイトでHSTSを有効にするように」と指示している。

ところが、たしかにHSTSによってブラウザは必ずHTTPSで接続を試みるのだが、それは2回目以降だ。そのブラウザが初めてそのサイトにHTTPSでアクセスしたタイミングで、「必ずHTTPSで接続するように」というHSTSを受け取るからだ。

これだと初回のアクセス時にはHTTPでアクセスすることがあり得るので、セキュリティは万全とはいえない（そういうケースの解説 [9]）。

プリロードHSTS

だが、HSTSを適用していることをブラウザが事前に知っていれば、初めてアクセスするときからHTTPを使わずHTTPSで接続できる。

この仕組みを「プリロードHSTS（Preload HSTS）」と呼ぶ。

プリロードHSTSの一覧にサイトを登録するフォーム [10]を、グーグル社員のイリア・グリゴリク氏がGoogle+で紹介した。このフォームから登録しておけば、ChromeとFirefox、Safariの3製品のブラウザからアクセスしたときは、初回訪問を含めて常にHTTPSでのアクセスを標準にする。

サイトを完全にHTTPSにし、かつサーバー側でHSTSを実装したのならば、ぜひ登録しておこう。

ただし、プリロードHSTSを登録できるのは、ペイレベルドメイン名（example.com）だけだ。サブドメイン単位（sub.example.comなど）では登録できない。

日本語で読めるSEO/SEM情報

安全なサイトを優遇、グーグルがHTTPSをランキング要因に組み込んだ [11]
★★★★★ 慌ててHTTPSへ移行しなくても大丈夫 （Google ウェブマスター向け公式ブログ）

グーグルの発表によると、HTTPS（SSL/TLS）を使っていることをランキング決定の要因として利用するようにしたとのことだ。HTTPSのページは、若干ではあるが評価が高くなる。つまり順位が上がることがある。

これを機に、運営サイトを完全にHTTPS化することを真剣に考えるのは良いことだ。

ただし、焦らないでほしい。

HTTPSに変更するということはURLが変わる。URLが変わるということは、すなわちサイトの移転と同じだ。適切に非HTTPSなURLへのトラフィックをリダイレクト設定していないと、順位が上がるどころか、反対に検索トラフィックを大きく失うことにつながりかねない。

今のところは、検索結果全体に与える影響はわずか1%程度だ。逆にいえば、99%の検索は、HTTPSの評価による影響を受けない。

最終的にはHTTPSに切り替えるとしても、公式アナウンスとそこで紹介されている数々のリソース、ヘルプ [12]を丹念に読むことから始めよう。入念なテストも必須だ。移行に挑戦したサイトの情報も今後出てくるだろう。準備万端の状態が整ってから移行すればいい。

また、この発表を乱用して「グーグルのSEO対策に効果あり」などとうたい、サーバー証明書をセールスしてくる業者がいるかもしれない（すでに出てきたという噂も耳にしている）。

きちんと状況を理解したうえで購入するのは問題ないが、口車に乗せられることがないように十分に気を付けてほしい。知り合いのウェブ担当者にも、だまされないように注意を促してあげよう。

グーグルは、ウェブを安全な場所にすることに非常に力を注いでおり、今回の決定もその一環と考えていい。HTTPSをランキング要因に組み込んだことにより、HTTPSを使うサイトが増えるだろう。

賛否両論があるにせよ、ウェブの安全性が高まる方向に進むことに間違いない。グーグルにとって最も大切なのは、サイト管理者ではなく検索ユーザーだ。検索ユーザーにとっていちばんメリットになることをグーグルが選択した結果だと筆者は認識している。

ちなみに、グーグルがHTTPSをランキング要因にした理由を安田編集長が考察 [13]している。ユーザーにとってのメリット、すなわちユーザーエクスペリエンスの向上をグーグルが第一にしているという点で筆者の考えと共通しているところがあり、まったくそのとおりだとうなずいた。

また、筆者ブログの記事ではもう少し詳しい情報も掲載しているし、ピックアップで紹介したプリロードHSTSの情報もあるので、そちらも参照してほしい。

モバイルサイト設計の25の指針――知らないとライバルサイトに出し抜かれること必至 [14]
★★★★★ 119時間にわたるユーザビリティテストから導き出された （Inside AdSense）

119時間にわたるユーザビリティテストの結果をもとにまとめた「モバイルサイト設計の指針：ユーザーの満足度とコンバージョンの促進」を、グーグルが発表した。資料はPDF [15]で公開されている。

資料で解説されているデザインの指針は全部で25個。たとえば次のようなものがある。

• メニューは短く簡潔に
• トップページには簡単に戻れるように
• すぐに目につく場所にサイト内検索を設置
• シンプルな入力方法を提供する
• 拡大・縮小いらずで見やすく表示

英語ではしばらく前に公開されていた資料の日本語訳版だ。筆者は英語版を一足早く読んでいたのだが、非常に参考になると断言する。必ず読んでほしい。

「実質のないコンテンツ」の手動対策から4日で生還した事例 [16]
★★★★★ 謙虚に受け止めて徹底的に対処した結果 （鴨野隼人 x 午後OFFライフ）

「実質のないコンテンツ」だとしてグーグルから手動の対策を受けたサイトが、すみやかに適切に対処し、わずか4日間で解除にこぎつけた自らの体験を書き綴った記事。

不自然なリンクによる手動対策の解除事例は、調べればいくつも見つかる。しかし「実質のないコンテンツ」の詳細な解除事例はほとんど見たことがない。貴重な事例だ。

筆者が感心したのは、こちらの方がグーグルの指摘を謙虚に受け止めて、グーグルが公開している情報を参照しながら、少しでも疑わしいと思ったところを徹底的に修正、改善、ものによっては削除し、さらに再審査リクエストでも適切な内容を送信していたところだ。

グーグルから手動の対策を受けた場合、「何が違反しているのかわからない」と人によっては隅から隅まで自分で調べようとしない。それならまだしも「自分は何も悪いことをしていない」「グーグルが間違っている」と、グーグルを非難する人さえいる。

手動の対策を受けるということは、何かしらの原因が絶対にあるはずだ。怒りの感情に流されずに冷静に対処すれば必ず解除されることを示してくれた事例でもある。

ウェブマスターツールでできるドメイン名設定のキホン [17]
★★★☆☆ 優先するドメイン名と登録するドメイン名のタイプ （Google ウェブマスター コミュニティ on Google+）

夏の間、グーグルのサーチクオリティチームがGoogle+のコミュニティで共有しているWebmasterTipsシリーズをピックアップする（前回はこちらから [18]）。

今回は、ウェブマスターツールに登録するドメイン名の設定についてのTIPSだ。

今回も基本的な設定だが、きちんとできているか確認してみよう。

Google Domainsの画面を本邦初公開 [22]
★★☆☆☆ 使いやすいのかが気になる （朝山貴生 on Google+）

グーグルが開始予定の独自ドメイン名管理サービス、「Google Domains（グーグル・ドメイン） [23]」のスクリーンショットを朝山氏がGoogle+に投稿した。

Google Domainsは、ごく一部のユーザーがベータテスターとして利用している（今のところ米国に住所がある人のみ）。

朝山氏によれば、現時点で登録できるドメイン名と登録にかかる金額は次のようになっている。

使い勝手や他のドメイン名登録事業者との違いはどうなのかが気になるところだ。

筆者追記このピックアップを書き終えた後に、筆者の元にもGoogle Domainsの招待メールが届いた。だが残念ながら、ログインはできるものの日本からはドメイン名の購入や移管といった実質的な操作はできなかった。

[24]

「申し訳ございませんが、お客さまの国ではGoogle Domainsはご利用いただけません」というメッセージが表示される。

[25]海外SEO情報ブログの
掲載記事からピックアップ

入力フォームの最適化とサイトのHTTPS移行に関する記事を今週はピックアップ。

• [Google調べ] 入力フォームの最適化のために必須な4つの設定 [26]
  ★★★★★ ユーザーテストから判明した事実
• HTTPからHTTPSへの移行で出てきた質問に回答 [27]
  ★★★★☆ 役立つQ&A

海外のSEO/SEM情報を日本語でピックアップ

次のペンギンはいつ実行されるのか？ [28]
★★★☆☆ 気配は当分なし （English Google Webmaster Central office-hours hangout）

「ペンギンアップデートはまた必ず更新する [29]」とグーグルのジョン・ミューラー氏は言い切ったものの、その実施時期までは具体的に言及しなかった。次の更新はいつのなるのだろうか？

8月11日にGoogle+で開催したウェブマスター向けのハングアウトオンエア [28]で、ペンギンアップデート更新がそう簡単ではないことを伺わせる発言をミューラー氏が口にした。

ペンギンは単なるデータ更新ではなく、完全なデータの入れ替えが必要だ。必要最小限の調整ではなく、完全な再実行になる。

ペンギンは、正しい結果を確実に返すようにするために改良に長い時間がかかるアルゴリズムだ。

話しぶりからすると、しばらくは更新の実施はないように思えた。

ところがこの4日後、8月15日のハングアウトオンエア [30]ではこんなふうに言っている。

エンジニアたちが取り組みを続けている。しばらく更新がなく静かな状況だ。しかし更新の実施はそう遠くはないだろう。もちろん今日の朝ということではないが。

近いうちに実行される可能性もゼロではなさそうだ。ひょっとしたら、この記事が公開されるときには「グーグル、ペンギンアップデート3.0を実施！」というニュースでSEO界隈は盛り上がっているかもしれない。

ウェブマスターツール「アドレス変更」4つの小話は、知ってると得するかも [31]
★★★☆☆ 利用できるなら利用しよう （Google Webmaster Help Forum ほか）

グーグルウェブマスターにツールにある「アドレス変更」ツールを利用すると、ドメイン名を変更したことをグーグルに通知できる。

このツールの働きに関して、複数の場所 [31]でグーグルの社員 [32]が発言 [33]していたのでまとめる。

• サブディレクトリの移動には対応していない（筆者補足： サブドメインも対応していない）。

• 移転をグーグルに伝えるには301リダイレクトが非常に強いシグナルになるので、アドレス変更ツールを利用しなくても問題はない。

• ただし、アドレス変更ツールを利用すると移転認識の処理が若干早く行われる。

• 移転を実行したらすぐに使うべき。

• 同じドメイン名でのHTTPからHTTPSへの移行には利用できない。

Googlebotのクロール速度を速くすることはできない [34]
★★★☆☆ Google Webmaster Help Forum （遅くすることは可能だけど）

ウェブマスターツールにある「クロール速度」の設定を変更すると、Googlebotがサイトをクロールするスピードを調節できる。

設定画面を見ると、通常よりもさらに高速にできるように思えるが実はそうではない。自動で設定された状態よりも遅くすることはできても、速くすることはできないのだ。

[35]

Googlebotのクロールによってサーバーのパフォーマンスに問題が発生している際に、クロールを抑える目的で使うのがこの機能だ。もっとたくさんクロールさせるために用いることはできない。

仮にゲージを目いっぱい「高」に設定しても、標準状態よりも通常は遅くなるようだ。

普段から使う設定ではないが、間違った解釈で設定変更しクロールに問題を起こさないように知っておいて悪いことではない。

グーグルニュースの発行サイトでもHTTPS化はできるのか？ [36]
★★☆☆☆ 問題なくできそう （Search Engine Roundatable）

グーグルニュースに取り上げられるサイトが、サイト全体をHTTPS化しても大丈夫なのだろうか？ それまでどおりグーグルニュースに掲載されるのだろうか？

グーグルのジョン・ミューラー氏によれば大丈夫とのことだ。申請も不要らしい。

Web担も含め、ニュース発行サイトであっても安心してHTTPS化に臨める。

[37]SEO Japanの
掲載記事からピックアップ

コンバージョン率アップに貢献する原則とSEOの正しい導入方法を扱った記事を今週はピックアップ。

• アイトラッキング調査で判明した8つの原則 [38]
  ★★★★★ ユーザーの視線の動きを分析
• クライアントサイトへのSEO導入講座 – 入門編 [39]
  ★★★★☆ SEOの導入方法をステップ・バイ・ステップで解説