メインコンテンツにスキップ
お客さまへの大切なお知らせ:膨大なサポート情報を少しでも早くお客さまにお届けするため、本コンテンツの日本語版は人間の翻訳者を介さない自動翻訳で提供されております。正確な最新情報については本コンテンツの英語版をご覧ください。
Domains & URLs

HubSpotでのSSLとドメインセキュリティー

更新日時 2023年 1月 19日

対象製品

Marketing Hub Starter, Professional, Enterprise
CMS Hub Starter, Professional, Enterprise
Marketing Hub Basic(旧製品)

ドメインをアカウントに接続すると、HubSpotはDigiCert通じて標準のSAN SSL証明書を自動的にプロビジョニングします。通常は数分で完了しますが、最長4時間かかる場合があります。

カスタムSSLアドオンを購入した場合は、カスタムSSL証明書をHubSpotにアップロードすることができます。TLSバージョンやセキュリティーヘッダーなど、接続されている各ドメインのセキュリティー設定を設定することもできます。

注:SSLプロビジョニングの処理中にエラーが発生した 場合は、SSL証明書エラーのトラブルシューティングで詳細をご覧ください。

SSL

HubSpotを通じて提供される標準のSAN SSLは無料で、有効期限の30日前に自動的に更新されます。証明書を更新するには、次の条件を満たしている必要があります。

  • HubSpotの顧客であること。
  • ドメインCNAMEが初期プロセスで設定された安全なサーバーを参照するように指定すること。
別のプロバイダーまたは証明書タイプを使用する場合は、カスタムSSLアドオンを購入して、カスタムSSL証明書をアカウントに追加できます。既存のSSL証明書を使用することはできません。これは証明書の安全性が損なわれるためです。

注:DigiCertは、ドメインの証明書をプロビジョニングする証明機関です。ドメインに認証局承認(CAA)レコードがある場合は、 digicert.comがリストされて いることを確認して、SSLをプロビジョニングまたは更新できます。

SSL証明書を事前にプロビジョニングする

既存のウェブサイトをHubSpotに移動している場合は、SSLのダウンタイムが発生しないようにSSL証明書を事前にプロビジョニングしておく必要があります。ドメインをHubSpotに接続しながら、SSL証明書を事前にプロビジョニングできます。

SSL証明書を事前にプロビジョニングするには、次の手順を実行します。

    • ドメイン接続プロセスの[DNS設定]ページにウェブサイトに既存のSSL証明書がある場合、バナーが表示されます。プロビジョニングプロセス を開始するには、ここをクリックしてください。

      pre-provision-ssl-certificate
  • ダイアログボックスの指示に従います。
    • GoDaddy、Namecheapなど、ご使用のDNSプロバイダーのアカウントにログインします。
    • DNSプロバイダーで、DNSレコードを管理するDNS設定画面に移動します。
    • ダイアログボックスに表示されている ホスト(名前) と値を使用して、ダイアログボックスに従って新しいDNSレコードを作成します。

注:ネットワークソリューションNamecheap、またはGoDaddyを使用している場合、ルートドメインをコピーする必要はありません。プロバイダーは、DNSレコードの末尾にルートドメインを自動的に追加します。

    • [確認]をクリックします。プロセスの変更には最大で4時間かかる場合があります。[確認]をクリックしてエラーが発生した場合は、数分待ってから確認]をクリックしてもう一度確認してください。

証明書が事前にプロビジョニングされている場合は、ドメイン接続画面に確認バナーが表示されます。その場合は、ドメインの接続を続行します。

ssl-pre-provision-success

ドメインセキュリティー設定

HubSpotに接続されている各サブドメインのセキュリティー設定をカスタマイズできます。セキュリティー設定には、ウェブサイトのプロトコル(HTTPとHTTPS)、TLSバージョン、およびウェブサイトのセキュリティーヘッダーが含まれます。

ドメインのセキュリティー設定を更新するには、次の手順を実行します。

  • HubSpotアカウントにて、ナビゲーションバーに表示される[設定アイコン settings]をクリックします。
  • 左のサイドバーメニューで[ウェブサイト]>[ドメインとURL]の順に移動します。
    • ドメインの横にある編集]をクリックし、[ドメインセキュリティー設定を更新]を選択します。
update-domain-security-settings


HTTPSプロトコル

ウェブサイトの全てのページがHTTPS経由で安全に読み込まれるように要求することができます。この設定が有効になっている場合は、画像やスタイルシートなどのHTTP経由で読み込まれるコンテンツはウェブサイト上で読み込まれなくなります。HTTPSサイト上のHTTP経由で読み込まれるコンテンツは、混在コンテンツと呼ばれます。ページ上の混在コンテンツエラーを解決する方法を確認してください。

HTTPSプロトコルをオンにするには、[HTTPSが必須チェックボックスをオンにします。


require-https


TLSバージョン

既定では、HubSpotサーバーはTLS 1.0以降を使用した接続に対応します。

サポートされているTLSバージョンを変更するには、TLSバージョンのドロップダウンメニューをクリックして、サポートする最下位のTLSバージョンを選択します。最低設定より低いTLSバージョンを使用しようとする接続は失敗します。

TLS-version

セキュリティーヘッダー

ドメインのセキュリティーを設定し、各ドメインのセキュリティーヘッダーをオンにすることができます。

HTTP Strict Transport Security(HSTS)

HTTP Strict Transport Security(HSTS)を有効にすることで、ウェブサイトのセキュリティーを一層強化できます。HSTSは、全てのHTTPリクエストをHTTPSリクエストに変換するようにブラウザーに指示します。HSTSを有効にすると、サブドメイン上のURLに対して行われるリクエストのレスポンスにHSTSヘッダーが追加されます。

  • HSTSを有効にするには、[セキュリティーヘッダー]タブをクリックし、[HTTP Strict Transport Security (HSTS) チェックボックスを選択します。


security-HSTS-setting

  • HTTPをHTTPSリクエストに変換するブラウザーの保存期間を設定するには、[期間(max-age)ドロップダウンメニューをクリックして期間を選択します。
  • ドメインのHSTSヘッダーにプレロードディレクティブを含めるには、[プレロードを有効にする] チェックボックスをオンにします。HSTSをプレロードする方法については、こちらでご覧ください。
    • 選択されたサブドメインに属しているすべてのサブドメインにHSTSヘッダーを含めるには、[サブドメインを含める] チェックボックスをオンにします。たとえば、www.examplewebsite.comでHSTSが有効になっており、[サブドメインを含める]チェックボックスがオンになっている場合、cool..py?examplewebsite.comでもHSTSが有効になります。

HSTS ヘッダーの詳細を確認してください。

追加のドメインセキュリティー設定(CMS Hubのみ)

CMS Hubのアカウントをお持ちの場合は、以下の追加のセキュリティー設定を有効にすることができます。

X-Frame-Options

ブラウザーが<frame>、<iframe>、<embed>、または<object>タグでページをレンダリングできるかどうかを示すには、X-Frame-Optionsレスポンスヘッダーを有効にします。

X-Frame-Optionsを有効にするには、[X-Frame-Options]チェックボックスを選択し、ドロップダウンメニューからディレクティブを選択します。

  • ドメイン上のページが上記タグ内のページに読み込まれないようにするには、[拒否]を選択します。
  • ドメイン上のページがドメイン全体で上記のタグに読み込まれるようにするには、[sameorigin]を選択します

    x-frame-options-setting

X-Frame-Optionsヘッダーの詳細を確認してください。

X-XSS-Protection

クロスサイトスクリプティングが検出されたときにページが読み込まれないようにすることによって、古いウェブブラウザーを使用するユーザーのセキュリティーを強化するには、X-XSS-Protectionヘッダーを有効にします。

このヘッダーを有効にするには、[X-XSS-Protectionチェックボックスを選択し、ドロップダウンメニューからXSS設定を選択します。

  • XSSフィルタリングを無効にするには、0を選択します。
  • クロスサイトスクリプティング攻撃が検出されたときにページの安全でない部分を削除するには、1を選択します。
  • 攻撃が検出された場合にページのレンダリングを防止するには、[1; mode = block]を選択します。

    x-xss-protection-header

X-XSS-Protectionヘッダーの詳細を確認してください。

X-Content-Type-Options

MIMEタイプスニフィングからページをオプトアウトするには、X-Content-Type-Optionsヘッダーを有効にします。この設定を有効にすると、ブラウザーはContent-TypeヘッダーでアドバタイズされたMIMEタイプに従うように指示されます。

x-content-type-options

X-Content-Type-Optionsヘッダーの詳細を確認してください。

Content-Security-Policy

ユーザーエージェントがページに読み込むことができるリソースを制御するには、Content-Security-Policyヘッダーを有効にします。このヘッダーはクロスサイトスクリプティング攻撃を防止するために役立ちます。

Content-Security-Policyヘッダーを有効にするには、[Content-Security-Policyチェックボックスをオンにして、ポリシーディレクティブを指定ます。利用可能なディレクティブのリストについては、MozillaのContent - Security - Policyヘッダーガイドを参照してください。

<script> 要素にランダムに生成されたヘッダー値に一致するnonce属性が含まれている場合にのみ実行を許可するには、nonceを有効にするを選択します。

注: HubSpotは、HubSpotの全てのスクリプトと、HubSpotでホスティングされている全てのスクリプトの各要求に対してランダムな値を自動的に生成します。

HubSpotでホスティングされているページの機能の完全性を確保するために、次のドメインを含める必要があります。

  • cdn2.hubspot.net

  • *.hubspot.com

  • *.hubspotusercontentxx.net(xxは、00、10、20、30、40のいずれかにすることができます)

  • js.hscollectedforms.net

  • js.hsleadflows.net

  • js.hs-scripts.com

  • js.hsadspixel.net

  • js.hs-analytics.net

  • js.hs-banner.com

  • js.hs-banner.net

  • *.hsforms.net

  • *.hsforms.com

  • static.hsappstatic.net

  • js.hubspotfeedback.com

  • feedback.hubapi.com

  • js.usemessages.com

  • *.vidyard.com


    content-security-policy-header

Content-Security-Policy-Report-Only

ポリシーディレクティブを監視するには、Content-Security-Policy-Report-Onlyヘッダーを有効にします。ポリシーディレクティブは適用されませんが、その効果は監視されるため、ポリシーを試験的に使用する場合に便利です。

このヘッダーを有効にするには、[Content - Security - Policy - Report - Only]チェックボックスをオンにして、ポリシーディレクティブを入力します。

<script> 要素にランダムに生成されたヘッダー値に一致するnonce属性が含まれている場合にのみ実行を許可するには、[ノンスを有効化]を選択します。

content-security-policy-report-only-header

Content-Security-Policy-Report-Onlyヘッダーの詳細を確認してください。

Referrer-Policy

リファラー情報をリクエストに含める量を制御するには、Referrer-Policyヘッダーを有効にします。

このヘッダーを有効にするには、[Referrer-Policyチェックボックスを選択し、ドロップダウンメニューからディレクティブを選択します。

referrer-policy-header利用可能なディレクティブの定義については、 MozillaのReferrer-Policyガイドをご覧ください。

Feature-Policy

<iframe>要素コンテンツを含む、ページ上でのブラウザー機能の使用を制御するには、Feature-Policyヘッダーを有効にします。

このヘッダーを有効にするには、[Feature-Policy]チェックボックスをオンにして、ディレクティブを入力します。ディレクティブのリストについては、 MozillaのFeature-Policyガイドをご覧ください。

feature-policy-header

 

Was this article helpful?
This form is used for documentation feedback only. Learn how to get help with HubSpot.