さくらSNI 独自SSLでドメイン全体をHTTPS化する

はい、こんばんは。
はるかです。

今回は、私の一番のナレッジデーターベースである
Google先生でどんなに調べても出てこなかった情報を
記録として残しておこうと思います。

2014年8月、GoogleがSSLサイトをランキングシグナルに使用するという
発表をしました。

これをみて、SEOに興味のあるWebマスターの多くが
SSLについて考えたのではないでしょうか。

まず、SSLの簡単な説明をしてみます。


ということで、私の構築した環境をお知らせしたいと思います。

私の環境を記述しておきます。

サーバー：さくらインターネット、スタンダードプラン 429円/月
独自ドメイン：www.harukas.org 155円/月
SSL証明書：Rapid SSL 234円/月

そうです。
月々429円で、広告の無い独自のサーバーを構築でき
+155円で、orgなどという有名なドメインを取ることができ
+234円でSSL化が可能という訳です。

これは、私が構築している環境ですので
もっと安く構築する事も可能です。

それでは本題に入りたいと思います。

１．SSLの種類

SSLの種類というと語弊があるかもしれません。
まず目的です。
SSLにする目的は大きく３つあります。

1)サイトの運営者情報を証明する
2)通信を暗号化して盗み見を防止をする
3)通信の改竄を検出する

です。

1)サイトの運営者情報を証明する
これは、サイト運営者の住所や氏名、会社などを認証局が証明する方法です。
取得するには、登記簿や様々な証明書が必要になります。
どんなに安くても数万～の費用が必要です。
設置した企業や個人を特定できますので、
販売サイトなどでは、幾ら高くてもお客様に信頼して貰うために
導入は必要だと思います。

2)通信を暗号化して盗み見を防止する
これは、SSLのプロトコルを使いブラウザで暗号化して、
通信経路上の盗み見を防止するためのものです。
Rapid SSLなど安価で正しく暗号化できる証明書を取得することで
構築できるようになりました。

3)通信の改竄を検出する。
セッションジャックやクッキー改竄など
トランスポート層より上位の改竄を検出することが
可能です。

もっと簡単な説明をすると
１）は、鈴木はるかという人物（xxに住んでいる等も）が
このサイトを運営しているという証明を公的な第三者に
証明してもらうことです。
数万～

２）３）はSSLを使って通信をする事により
享受できるメリットです。
無料～

SSLを構築する目的によって、料金が全く違いますので
良く検討して使う証明書を選んでください。

私は個人運営者なので１なんかするとストーカの餌食になってしまいます(>_<)
ですので、２の証明書を取って使っています。

２．共有SSL？独自SSL？

SSLに興味が出てくると、この言葉が気になります。
通常、レンタルサーバでは、共有SSLは無料で提供されたりするものです。
私は、共有SSLは絶対に使うべきでは無いと断言します。

なぜか？
それは、共有SSLは、悪意を持った人が同じサーバにいれば
共有SSLを使っている善良なサイトの情報をすべて抜き取る事が可能になるのです。
具体的には、住所や電話番号、カード番号などを情報を
簡単に盗み取ることが可能な訳です。
ですので共有SSLは絶対に使ってはいけない通信なのです。

ということで、賢明なWebマスターは絶対に使わないように
してくださいね。

３．SSL SNIってなんぞ？

共有SSLを使うと、簡単に情報が盗み取られるのには理由があります。

まず共有SSLとは、どんな仕組みかというと、
ひとつのサーバ（＝ひとつのIPアドレス）で
一つの証明書を、Aさん、Bさん・・・・で共有して使うという事になります。

これは、その証明書の鍵をAさん、Bさん・・・で共有するという事になります。

もっと簡単にいうとAさんが素晴らしい暗号で鍵を掛けたとしても
悪意をもったBさんはAさんの鍵を簡単に開けてしまうことができるのですね。

怖いですね(>_<)

さくらインターネットでは、この脆弱性に対応するため
SNIという仕組みを搭載しました。
どんなのかというと、サイトの「名前毎」に鍵を持てるようにしました。

たとえば私のサイト www.harukas.orgの鍵は
世界で私一人しか持っていません。
よって、複数人で鍵を共有する仕組みに比べ
情報が盗み取られる危険性が少ないのです。

これからのレンタルサーバーではSSLを使うために
SNIを搭載することは必至になるといっても過言ではないでしょう。

という事で、私のサイトの鍵は私しかもっていないので
安心してくださいね＾＾

SNIも良いことばかりではありません。
古いブラウザやガラケーなどでは対応していない場合があるのです。
SNI移行目的と使う客層が一致する事は必ず確認してください。

ちなみに私は、セキュリティが脆弱なXPや脆弱な古いブラウザで
アクセスする人は、すべて切り捨てました。
（GoogleAnalyticsで事前にどのブラウザでサイトに来ているか
確認する事もできます。私の場合影響は皆無でした）

４．さくらSSL SNIでWordPressを構築してみる

はい、本当の本題です。
この情報は、現時点で私のサイトしかありません。
<2015.06.01追記>
本設定でも動作しますが、もっと良い設定を発見しました。
さくらでHTTPSにするSSL SNIの設定の仕方
を併せて参照願います。
<追記終わり>

<2018年3月追記>
さくらインターネットがSSL環境を変更しました。
そのため、以下のような設定をしなくても動作すると考えます。
詳しくは上記のページで解説します。
<追記終わり>


それではいってみます。

さくらのSSL SNIで独自ドメインを使いWordPressを動かすには
以下の二つの方法があります。

１）www.harukas.orgでWordPressを運営する
２）harukas.orgでWordPressを運営する

の二つです。
サイト名は例です。ようはwwwが付くか付かないかで
大きく変わるという感じです。

ここで、最初に重大発表です。
さくらでwww付きの独自ドメインで
WordPressを動かす事はできません。

２）なら問題ないですが１）は動かないという事ですね。

それでは、その理由を解説したいと思います。
WordPressの管理画面から「設定」→「一般」の画面を知っている人は
多いでしょうね。

の画面です。
私の場合、wp-config.phpのdefineで設定しているため、
ハイド(グレー)表示になっています。
ここでwwwの付くサイトを入力すると、
必ずリダイレクトループが発生します。

なぜリダイレクトループが発生するか説明します。
さくらのサーバでは、ブラウザのURLフィールドに
https://www.harukas.org/
と入力すると、現在のサーバーの状態を示す環境変数に
「harukas.org」がセットされ返却されます。

※ちなみに
http://www.harukas.org/
と入力するとさくらのサーバは、現在のサーバーを示す環境変数は
「www.harukas.org」となります。（全く正常です。SSLにすると異常動作をします）

どういう事かというと実際は、www.harukas.orgというサーバに居るのに
harukas.orgという別のサーバにいる・・・という狂った動きをするのです。

この仕様でWordPressを動かすとどうなるか説明します。

WordPressではサーバ名が違うとき、正しいサイトにリダイレクトするという機能が
標準で備わっています。

つまり、
ブラウザ：www.harukas.org
さくら：harukas.org
となるので、harukas.org→www.harukas.orgのリダイレクトを行うのですね。

そして、その後www.harukas.orgになったかどうかさくらのサーバーに問い合わせます。
しかしさくらのサーバーはharukas.orgだと主張します。
で、頭の良いWordPressは、もう一度harukas.org→www.harukas.orgの
リダイレクトを行います。
しかしさくらのサーバーはharukas.orgだと主張します。

という事で永遠にこれを繰り返し、リダイレクトループになるわけです。

この状態を回避するには、さくらのサーバが、現在のサーバを
www.harukas.orgとして、WordPressに返却すれば旨く動作する訳です。

それを実現するためには
wp-config.phpに次の記述をします。

// プロクシでIPが入るとSSLアクセス状態をセットする
if( isset($_SERVER['HTTP_X_SAKURA_FORWARDED_FOR']) ) {
    $_SERVER['HTTPS'] = 'on';
    $_ENV['HTTPS'] = 'on';
    $_SERVER['HTTP_HOST'] = 'www.harukas.org';
    $_SERVER['SERVER_NAME'] = 'www.harukas.org';
    $_ENV['HTTP_HOST'] = 'www.harukas.org';
    $_ENV['SERVER_NAME'] = 'www.harukas.org';
}

それでは、説明です。

if( isset($_SERVER[‘HTTP_X_SAKURA_FORWARDED_FOR’]) ) {

これは、さくらのSSL SNIを使用した時に特別に書き出す変数です。
その変数に数値が入っていたらSSLのアクセスだと判断できます。
SSLのアクセスだと分かれば、こちらに都合のよい変数を
強制的にセットします。

$_SERVER[‘HTTPS’] = ‘on’;
$_ENV[‘HTTPS’] = ‘on’;

これは、httpsでアクセスしているという変数を
強制的にONしています。
なぜかというと、さくらのサーバで、SSLサイトでアクセスしている場合
一度rewrite（URLを書き換える）したら、
その後SSLでアクセスしているにも関わらずSSLではないと主張して
しまいます。それは、WordPressにとって大変都合が悪いのです。
ですので、強制的にSSLだという設定をします。

$_SERVER[‘HTTP_HOST’] = ‘www.harukas.org’;
$_SERVER[‘SERVER_NAME’] = ‘www.harukas.org’;
$_ENV[‘HTTP_HOST’] = ‘www.harukas.org’;
$_ENV[‘SERVER_NAME’] = ‘www.harukas.org’;

これは、先ほどのさくらのサーバがharukas.orgで返してくると
説明したことの対策です。
繰り返しますが、さくらのサーバは、www.harukas.orgでアクセスしても
harukas.orgだと主張します。
これを回避するには、www.harukas.orgだと強制的に入力すれば
良いわけです。
それがこのコードです。

ご自分のサイトで対応する場合、もちろんドメイン名は
ご自分のサイトに合わせてくださいね＾＾

これで、あとは.htaccessにリダイレクトの設定を入れるだけで
うまく動作させることが可能です。

.htaccessの内容

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTP:X-Sakura-Forwarded-For} ^$
RewriteRule ^(.*)$  [R=301,L]
</IfModule>

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /blog/
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /blog/index.php [L]
</IfModule>

# END WordPress

最初のほうは、http://でアクセスにきた場合は、
https://にリダイレクトするという命令です。

# BEGIN WordPress
から
# END WordPress
までは、
WordPressが勝手にセットするセクションですので
このままにしておきます。

どうですか？
以上で、さくらインターネットスタンダードプラン
SNI独自SSLで独自ドメインにて、www付きの全サイトをSSL化することが
可能です。

最後に、私がサイト全体をSSL化するにあたりもの凄く参考になった
サイトをご紹介します。

鈴木謙一さんの海外SEO情報ブログ
ブログの完全HTTPS化を完了、HTTPからHTTPSへの移行プロセスを共有

鈴木謙一さんは、有益で高品質なコンテンツを無料で提供している素晴らしい方です。
（※）当ブログに貴重なアドバイスもしていただきました。
ありがとうございます。

では、おやすみなさい。
またね～♪