HubSpotでのSSLとドメインセキュリティー

HubSpotは、ドメインをアカウントに接続する際、 Google Trust Servicesを通じて標準SAN SSL証明書を自動的にプロビジョニングします。標準のSSLプロビジョニングは通常数分で完了しますが、最大で4時間かかる場合があります。

カスタムSSL追加オプションを購入している場合は、 カスタムSSL証明書をHubSpotにアップロードすることができます。TLSバージョンやセキュリティーヘッダーなど、接続されているドメインごとにセキュリティー設定を構成することもできます。

注: SSLプロビジョニングプロセス中にエラーが発生した場合は、 SSL証明書エラーに関するトラブルシューティングガイドを参照してください。

SSL 証明書を事前にプロビジョニングする

既存のサイトをHubSpotに移動している場合は、SSLのダウンタイムが発生しないようにSSL証明書を事前にプロビジョニングしておく必要があります。ドメインをHubSpotに接続中に、SSL証明書を事前にプロビジョニングできます。

1. サイトに既存のSSL証明書がある場合は、ドメインの 接続プロセス中に バナーが表示されます。[ 事前プロビジョニング ]をクリックし、ダイアログボックスの手順に従ってプロビジョニングプロセスを開始します。

2. 別のブラウザーウィンドウまたはタブで、 ドメインプロバイダーのサイト (GoDaddyやNamecheapなど)にサインインします。
3. ドメインプロバイダーのサイトで、DNSレコードを管理する DNS設定に移動します。
4. HubSpotの [SSL証明書を事前プロビジョニングする]ダイアログボックスに従って、 新しいDNSレコードを作成します。[ホスト]と [必須データ ]の値をコピーします。
5. 完了したら、[ SSL証明書を事前プロビジョニングする ]ダイアログボックスで[ 確認]をクリックします。プロセスの変更には最大で4時間かかる場合があります。[確認]をクリックしたときにエラーが発生した場合は、数分待ってからもう一度[ 確認 ]をクリックしてチェックしてください。

注: Network Solutions、 Namecheap、 またはGoDaddyを使用している場合は、ルートドメインをコピーする必要はありません。プロバイダーは、ルートドメインをDNSレコードの最後に自動的に追加します。

6. 証明書が正常に事前プロビジョニングされると、ドメイン接続画面に確認バナーが表示されます。その場合は、 ドメインの接続を続行できます。

ドメインコントロール検証（DCV）レコードの設定

ドメイン設定に「リバース プロキシー ドメインは、ウェブサイトの混乱を避けるためにあなたのアクションが必要です」というエラーが表示された場合は、ドメインコントロール検証（DCV）レコードを追加して、SSL証明書を最新の状態に保つことをお勧めします。 

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [対応が必要]ラベルが付いているドメインごとに、[アクション]ドロップダウンメニューをクリックし、[DNSレコードを表示]を選択します。
4. 別のブラウザーウィンドウまたはタブで、 ドメインプロバイダーのサイト にサインインし、DNSレコードにアクセスします。詳しくは、一般的なプロバイダーのDNS設定をご覧ください。 
5. ドメインプロバイダーのサイトで、DNSレコードを管理する DNS設定に移動します。
6. HubSpotのダイアログボックスに従って、 新しいDNSレコードを作成します。DCVレコード の値をコピーして、DNS設定でドメインプロバイダーのサイトの新しいレコードに貼り付けます。
7. 新しい DCV レコードを DNS アカウントに追加すると、DNS の変更の更新が完了するまでに最大 24 時間かかる場合があります。

ドメインセキュリティー設定

HubSpot に接続されている各サブドメインのセキュリティー設定をカスタマイズできます。セキュリティー設定には、ウェブサイトのプロトコル（HTTP と HTTPS）、TLS バージョン、およびウェブサイトのセキュリティーヘッダーが含まれます。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。

HTTPS プロトコル

サイトのすべてのページをHTTPSで安全に読み込むよう求めることができます。この設定が有効になっている場合は、画像やスタイルシートなどのHTTP経由で読み込まれるコンテンツがサイト上で読み込まれ なくなります。HTTPS サイト上の HTTP 経由で読み込まれるコンテンツは、混在コンテンツと呼ばれます。ページ上の 混在コンテンツエラーを解決する 方法をご確認ください。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで[ HTTPSが必須 ]チェックボックスをオンにすると、ドメイン上の全てのページをHTTPではなくHTTPSで安全に読み込むことができます。
5. 完了したら、[ 保存]をクリックします。

TLS バージョン

既定で、HubSpot サーバーは TLS 1.0 以降を使用した接続を受け入れます。最低設定より低い TLS バージョンを使用しようとする接続は失敗します。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ TLSバージョン ]ドロップダウンメニューをクリックし、 オプションを選択します。
5. 完了したら、[ 保存]をクリックします。

セキュリティーヘッダー

ドメインセキュリティーを設定し、ドメインごとにセキュリティーヘッダーを有効にすることができます。

HTTP Strict Transport Security（HSTS）

HTTP Strict Transport Security（HSTS）を有効にすることで、ウェブサイトに余分なセキュリティーのレイヤーを追加できます。HSTS は、すべての HTTP リクエストを HTTPS リクエストに変換するようにブラウザーに指示します。HSTSを有効にすると、サブドメイン上のURLに対して行われるリクエストのレスポンスにHSTSヘッダーが追加されます。HSTSヘッダーの詳細をご確認ください。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. HSTSを有効にするには、[ HTTP Strict Transport Security(HTSS)] チェックボックスをオンにします。 
   • ブラウザーがHTTPをHTTPSリクエストに変換することを記憶しておく時間を編集するには、[ 期間(max-age)] ドロップダウンメニューをクリックして 期間を選択します。
   • ドメインの HSTS ヘッダーにプレロードディレクティブを含めるには、［プレロードを有効にする］ チェックボックスを有効にします。HSTS をプレロードする方法について説明します。
   • 選択されたドメインに属している全てのサブドメインにHSTSドメインを含めるには、[ サブドメインを含める ]チェックボックスをオンにします。例えば、「www.examplewebsite.com」のHSTSが有効になっており、［サブドメインを含める］チェックボックスがオンになっている場合は、「cool.www.examplewebsite.com」でもHSTSが有効になります。
6. 完了したら、[ 保存]をクリックします。

その他のドメインセキュリティー設定（Content Hubのみ）

Content Hub Starter、Professional、またはEnterpriseアカウントをご利用の場合は、以下の追加のセキュリティー設定を有効にできます。

X-Frame-Options

X-Frame-Optionsレスポンスヘッダーをオンにすることで、ブラウザーが <frame>、 <iframe>、 <embed>、または <object> htmlタグでページをレンダリングできるかどうかを示すことができます。X-Frame-Optionsヘッダーの詳細をご確認ください。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. X-Frame-Optionsを有効にするには、[ X-Frame-Options]チェックボックスをオンにしてから、[ディレクティブ ]ドロップダウンメニューをクリックして オプションを選択します。
   • ドメイン上のページが上記タグ内のページに読み込まれないようにするには、［deny］を選択します。
   • ドメイン上のページが自分のドメイン内でのみ上記タグに読み込まれるようにするには、[ sameorigin]を選択します。
6. 完了したら、[ 保存]をクリックします。

X-XSS-Protection

X-XSS-Protectionヘッダーを有効にして、古いウェブブラウザーのユーザーに対してセキュリティーレイヤーを追加できます。X-XSS-Protectionを有効にすると、クロスサイトスクリプティングが検出されたときにページが読み込まれなくなります。X-XSS-Protectionヘッダーの詳細をご確認ください。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. X-XSS-Protectionヘッダーを有効にするには、[ X-XSS-Protection ]チェックボックスをオンにしてから、[XSS設定 ]ドロップダウンメニューをクリックし、 オプションを選択します。
   • XSSフィルタリングを無効にするには、［0］を選択します。
   • クロスサイトスクリプティング攻撃が検出されたときにページの安全でない部分を削除するには、[ 1]を選択します。
   • 攻撃が検出された場合にページのレンダリングを防止するには、[ 1; mode=block]を選択します。
6. 完了したら、[ 保存]をクリックします。

X-コンテンツタイプ-オプション

X-Content-Type-Optionsヘッダーをオンにすると、 MIMEタイプスニフィングからページをオプトアウトできます。この設定を有効にすると、ブラウザーはContent-TypeヘッダーでアドバタイズされたMIMEタイプに従うように指示されます。X-Content-Type-Optionsヘッダーの詳細をご確認ください。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. MIMEタイプスニフィングからページをオプトアウトするには、[ X-Content-Type-Options ]チェックボックスをオンにします。
6. 完了したら、[ 保存]をクリックします。

Content-Security-Policy

Content-Security-Policyヘッダーをオンにすることで、ユーザーエージェントがページに読み込むことができるリソースを制御できます。このヘッダーはクロスサイトスクリプティング攻撃を防止するために役立ちます。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. ユーザーエージェントが読み込むことができるリソースを制御するには、[ Content-Security-Policy ]チェックボックスをオンにします。
   • [ポリシーディレクティブ ]フィールドに ディレクティブ を入力します。
     • HubSpotがホスティングするページで全機能を確保するには、 次の表に示すドメインとディレクティブ を含める必要があります。
     • 利用可能なディレクティブのその他のリストについては、MozillaのContent-Security-Policyヘッダーガイドをご覧ください。
   • ウェブバージョンのマーケティングEメールでContent-Security-Policyヘッダーを使用するには、 ここで説明するキーワードとして 「unsafe-inline 」と入力します。そうでない場合は、Eメールからのスタイル設定はブロックされます。 
   • ランダムに生成されたヘッダー値と一致するノンス属性が含まれている場合にのみ <script> 要素の実行を許可するには、[ノンスを有効にする]チェックボックスをオンにします。
6. 完了したら、[ 保存]をクリックします。

注：HubSpotからの全てのスクリプトとHubSpotでホスティングする全てのスクリプトについて、リクエストごとにランダムな値を自動的に生成します。

HubSpotがホスティングするページで全機能を確保するには、次のドメインとディレクティブを含める必要があります。

Content-Security-Policy-Report-Only

Content-Security-Policy-Report-Onlyヘッダーをオンにすることで、ポリシーディレクティブを監視できます。ポリシーディレクティブは適用されませんが、影響は監視されるため、ポリシーを使用して実験する場合に便利です。Content-Security-Policy-Report-Onlyヘッダーの詳細をご確認ください。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. このヘッダーを有効にするには、［Content-Security-Policy-Report-Only］チェックボックスをオンにしてから、［ポリシー指示］を入力します。
6. ランダムに生成されたヘッダー値と一致するノンス属性が含まれている場合にのみ <script> 要素の実行を許可するには、[ノンスを有効にする]チェックボックスをオンにします。
7. 完了したら、[ 保存]をクリックします。

Referrer-Policy

Referrer-Policyヘッダーをオンにすることで、リクエストに含めるリファラー情報の量を制御できます。利用可能なディレクティブの定義については、 MozillaのReferrer-Policyガイドをご覧ください。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. リクエストに含めるリファラー情報の量を制御するには、[Referrer-Policy]チェックボックスをオンにしてから、[ディレクティブ]ドロップダウンメニューをクリックしてオプションを選択します。
6. 完了したら、[ 保存]をクリックします。

Permissions-Policy

Permissions-Policyヘッダーをオンにすることで、 <iframe> 要素コンテンツを含む、ページ上でのブラウザー機能の使用を制御できます。

1. HubSpotアカウントにて、上部のナビゲーションバーに表示される設定アイコンsettingsをクリックします。
2. 左のサイドバーメニューで、［コンテンツ］＞［ドメインとURL］の順に移動します。
3. [アクション]ドロップダウンメニューをクリックし、[ ドメインセキュリティー設定を更新]を選択します。
4. 右側のパネルで、[ セキュリティーヘッダー ]タブをクリックします。
5. ブラウザー機能の使用を制御するには、[ Permissions-Policy]チェックボックスをオンにしてから、[ディレクティブ]を入力します。ディレクティブのリストについては、 Mozilla の Permissions-Policy ガイドをご覧ください。
6. 完了したら、[ 保存]をクリックします。