ApacheでSSLを設定する場合ですが、ssl.confでしてするディレクトリに一般的には次のどちらを設定するのがベターなのでしょうか?


1.HTTPでアクセスされるベースディレクトリをそのまま設定する
2.HTTPSで利用するために、ベースディレクトリ以外のディレクトリを作成し、設定する
3.その他

恐らく用途にもよるのでしょうが、
想定している用途としては、一般的なエンドユーザ向けのサービスサイトとなります。

具体的な設定理由(セキュリティ的観点や運用上の観点等)を添えてご回答ください。

回答の条件
  • 1人2回まで
  • 登録:
  • 終了:2008/02/12 13:20:02
※ 有料アンケート・ポイント付き質問機能は2023年2月28日に終了しました。

回答1件)

id:virtual No.1

回答回数1139ベストアンサー獲得回数128

ポイント60pt

まさに用途によりますが、私の場合(個人的な用途のサイト)はHTTPとHTTPSとで完全に別のディレクトリを設定しています。

理由は、HTTPは一般に公開する普通のコンテンツで、HTTPSの方はごく個人的な用途のコンテンツ(Web Mailやサーバーの管理画面) で互いに独立事象の内容だからです。


個人的な意見ですが、同じディレクトリでHTTPとHTTPSでアクセス可能にするとSSLを「必ず」使いたい場合でもよほどよく気をつけていないとHTTPでアクセスしてしまう可能性があるのでお勧めしませんし、そもそもSSL化する意義が殆どありません。

会員向けのサービスでアクセス元でHTTPSが通らないとかの理由で暗号化されていないリスクを承知でHTTPでも同じディレクトリを覗けるようにしているケースがありますが、そういった理由でも無い限り別ディレクトリでの運用がベターだと考えます。

id:curd

ご指摘の通りですね。

自分が実装する際は、以前はスクリプトの最初にHTTPS経由のアクセスであるか確認し、

万が一、HTTP経由だった場合はHTTPSへリダイレクトさせていたのですが、

そもそも別ディレクトリを設定すれば問題ないので、最近は別ディレクトリを設定しています。

ご回答ありがとうございます。

2008/02/05 16:11:27
  • id:curd
    × ssl.confでしてする
    ○ ssl.confで指定する
  • id:pismo
    httpsでアクセスさせたいものをhttpでアクセスしてきた場合には、スクリプトを書かなくても.htaccessの設定でリダイレクトできますので、ディレクトリを分ける意味はないと思います。
    セキュリティ的にはhttpだろうがhttpsだろうが外から見える以上は関係ない話ですから、この観点からもディレクトリを分ける必要はありませんね。
  • id:tezcello
    単に鍵をかけるだけでは無く、クライアント認証という方法もあるので
    > セキュリティ的にはhttpだろうがhttpsだろうが外から見える以上は関係ない話
    とばっかりも言えないのでは?
  • id:virtual
    >.htaccessの設定でリダイレクトできます
    リスク管理の問題です。
    .htaccessの設定を忘れてしまうことも「できる」ので最初から完全に分けておくことにも充分な理由があります。

    >httpだろうがhttpsだろうが外から見える以上は関係ない話
    これもリスク管理の問題です。
    通信経路での傍受の可能性の観点から言うと違います。
    httpsの場合は誰が見たのかログから判断できますが、httpの場合は傍受された分はログには残りません。
    それにhttpsを使う場合はユーザー認証を併用して使用する場合が多い(というかほとんど)のでその意味からもディレクトリを分けておくことに意味があります。

  • id:pismo
    チョット勘違いされているようなので補足を...
    httpもhttpsもセキュリティ的には関係ないと言ったのは、例えば「個人情報を扱うところで、どっちを使っても問題ない」という話ではありません。
    使い分けは意味のある事ですが、「重要なものだからhttps」というのは違うぞと。
    httpsを使っても丸見えであれば意味ないでしょ?というニュアンスで書いただけですから...
    通信路での盗聴などの問題は「当然の事理解している上での話」です。

    認証の問題に関しては、今回の話題ではないので省略している事も書き添えておきます。
    (ちなみにユーザー認証は公開サーバーである以上は「万全」ではありませんね)

    ディレクトリを分けても、アップロードするときに(あるいはコンテンツを作るときに)格納場所を間違うというリスクもありますので、そこを考慮して「ディレクトリを分ける意味がない」と書かせていただきました。

    もちろん、みなさんが書かれている事もごもっともですので、否定は致しません。

この質問への反応(ブックマークコメント)

「あの人に答えてほしい」「この質問はあの人が答えられそう」というときに、回答リクエストを送ってみてましょう。

これ以上回答リクエストを送信することはできません。制限について

回答リクエストを送信したユーザーはいません