更新日時 2023年 1月 19日
ドメインをアカウントに接続すると、HubSpotはDigiCert通じて標準のSAN SSL証明書を自動的にプロビジョニングします。通常は数分で完了しますが、最長4時間かかる場合があります。
カスタムSSLアドオンを購入した場合は、カスタムSSL証明書をHubSpotにアップロードすることができます。TLSバージョンやセキュリティーヘッダーなど、接続されている各ドメインのセキュリティー設定を設定することもできます。
注：SSLプロビジョニングの処理中にエラーが発生した 場合は、SSL証明書エラーのトラブルシューティングで詳細をご覧ください。
SSL証明書を事前にプロビジョニングする
既存のウェブサイトをHubSpotに移動している場合は、SSLのダウンタイムが発生しないようにSSL証明書を事前にプロビジョニングしておく必要があります。ドメインをHubSpotに接続しながら、SSL証明書を事前にプロビジョニングできます。
SSL証明書を事前にプロビジョニングするには、次の手順を実行します。
- ドメイン接続プロセスの［DNS設定］ページにウェブサイトに既存のSSL証明書がある場合、バナーが表示されます。プロビジョニングプロセス を開始するには、ここをクリックしてください。
- ダイアログボックスの指示に従います。
- GoDaddy、Namecheapなど、ご使用のDNSプロバイダーのアカウントにログインします。
- DNSプロバイダーで、DNSレコードを管理するDNS設定画面に移動します。
- ダイアログボックスに表示されている ホスト（名前） と値を使用して、ダイアログボックスに従って新しいDNSレコードを作成します。
注：ネットワークソリューション、Namecheap、またはGoDaddyを使用している場合、ルートドメインをコピーする必要はありません。プロバイダーは、DNSレコードの末尾にルートドメインを自動的に追加します。
- ［確認］をクリックします。プロセスの変更には最大で4時間かかる場合があります。［確認］をクリックしてエラーが発生した場合は、数分待ってから［確認］をクリックしてもう一度確認してください。
証明書が事前にプロビジョニングされている場合は、ドメイン接続画面に確認バナーが表示されます。その場合は、ドメインの接続を続行します。
ドメインセキュリティー設定
HubSpotに接続されている各サブドメインのセキュリティー設定をカスタマイズできます。セキュリティー設定には、ウェブサイトのプロトコル（HTTPとHTTPS）、TLSバージョン、およびウェブサイトのセキュリティーヘッダーが含まれます。
ドメインのセキュリティー設定を更新するには、次の手順を実行します。
- HubSpotアカウントにて、ナビゲーションバーに表示される［設定アイコン ］をクリックします。
- 左のサイドバーメニューで［ウェブサイト］>［ドメインとURL］の順に移動します。
- ドメインの横にある［編集］をクリックし、［ドメインセキュリティー設定を更新］を選択します。
HTTPSプロトコル
ウェブサイトの全てのページがHTTPS経由で安全に読み込まれるように要求することができます。この設定が有効になっている場合は、画像やスタイルシートなどのHTTP経由で読み込まれるコンテンツはウェブサイト上で読み込まれなくなります。HTTPSサイト上のHTTP経由で読み込まれるコンテンツは、混在コンテンツと呼ばれます。ページ上の混在コンテンツエラーを解決する方法を確認してください。
HTTPSプロトコルをオンにするには、［HTTPSが必須］チェックボックスをオンにします。
TLSバージョン
既定では、HubSpotサーバーはTLS 1.0以降を使用した接続に対応します。
サポートされているTLSバージョンを変更するには、TLSバージョンのドロップダウンメニューをクリックして、サポートする最下位のTLSバージョンを選択します。最低設定より低いTLSバージョンを使用しようとする接続は失敗します。
セキュリティーヘッダー
ドメインのセキュリティーを設定し、各ドメインのセキュリティーヘッダーをオンにすることができます。
HTTP Strict Transport Security（HSTS）
HTTP Strict Transport Security（HSTS）を有効にすることで、ウェブサイトのセキュリティーを一層強化できます。HSTSは、全てのHTTPリクエストをHTTPSリクエストに変換するようにブラウザーに指示します。HSTSを有効にすると、サブドメイン上のURLに対して行われるリクエストのレスポンスにHSTSヘッダーが追加されます。
- HSTSを有効にするには、［セキュリティーヘッダー］タブをクリックし、［HTTP Strict Transport Security (HSTS) ］チェックボックスを選択します。
- HTTPをHTTPSリクエストに変換するブラウザーの保存期間を設定するには、［期間（max-age）］ドロップダウンメニューをクリックして期間を選択します。
- ドメインのHSTSヘッダーにプレロードディレクティブを含めるには、［プレロードを有効にする］ チェックボックスをオンにします。HSTSをプレロードする方法については、こちらでご覧ください。
- 選択されたサブドメインに属しているすべてのサブドメインにHSTSヘッダーを含めるには、［サブドメインを含める］ チェックボックスをオンにします。たとえば、www.examplewebsite.comでHSTSが有効になっており、［サブドメインを含める］チェックボックスがオンになっている場合、cool..py?examplewebsite.comでもHSTSが有効になります。
HSTS ヘッダーの詳細を確認してください。
追加のドメインセキュリティー設定（CMS Hubのみ）
CMS Hubのアカウントをお持ちの場合は、以下の追加のセキュリティー設定を有効にすることができます。
X-Frame-Options
ブラウザーが<frame>、<iframe>、<embed>、または<object>タグでページをレンダリングできるかどうかを示すには、X-Frame-Optionsレスポンスヘッダーを有効にします。
X-Frame-Optionsを有効にするには、［X-Frame-Options］チェックボックスを選択し、ドロップダウンメニューからディレクティブを選択します。
- ドメイン上のページが上記タグ内のページに読み込まれないようにするには、［拒否］を選択します。
- ドメイン上のページがドメイン全体で上記のタグに読み込まれるようにするには、［sameorigin］を選択します。
X-Frame-Optionsヘッダーの詳細を確認してください。
X-XSS-Protection
クロスサイトスクリプティングが検出されたときにページが読み込まれないようにすることによって、古いウェブブラウザーを使用するユーザーのセキュリティーを強化するには、X-XSS-Protectionヘッダーを有効にします。
このヘッダーを有効にするには、［X-XSS-Protection］チェックボックスを選択し、ドロップダウンメニューからXSS設定を選択します。
- XSSフィルタリングを無効にするには、0を選択します。
- クロスサイトスクリプティング攻撃が検出されたときにページの安全でない部分を削除するには、1を選択します。
- 攻撃が検出された場合にページのレンダリングを防止するには、［1; mode = block］を選択します。
X-XSS-Protectionヘッダーの詳細を確認してください。
X-Content-Type-Options
MIMEタイプスニフィングからページをオプトアウトするには、X-Content-Type-Optionsヘッダーを有効にします。この設定を有効にすると、ブラウザーはContent-TypeヘッダーでアドバタイズされたMIMEタイプに従うように指示されます。
X-Content-Type-Optionsヘッダーの詳細を確認してください。
Content-Security-Policy
ユーザーエージェントがページに読み込むことができるリソースを制御するには、Content-Security-Policyヘッダーを有効にします。このヘッダーはクロスサイトスクリプティング攻撃を防止するために役立ちます。
Content-Security-Policyヘッダーを有効にするには、［Content-Security-Policy］チェックボックスをオンにして、ポリシーディレクティブを指定します。利用可能なディレクティブのリストについては、MozillaのContent - Security - Policyヘッダーガイドを参照してください。
<script> 要素にランダムに生成されたヘッダー値に一致するnonce属性が含まれている場合にのみ実行を許可するには、nonceを有効にするを選択します。
注： HubSpotは、HubSpotの全てのスクリプトと、HubSpotでホスティングされている全てのスクリプトの各要求に対してランダムな値を自動的に生成します。
HubSpotでホスティングされているページの機能の完全性を確保するために、次のドメインを含める必要があります。
-
cdn2.hubspot.net
-
*.hubspot.com
-
*.hubspotusercontentxx.net（xxは、00、10、20、30、40のいずれかにすることができます）
-
js.hscollectedforms.net
-
js.hsleadflows.net
-
js.hs-scripts.com
-
js.hsadspixel.net
-
js.hs-analytics.net
-
js.hs-banner.com
-
js.hs-banner.net
-
*.hsforms.net
-
*.hsforms.com
-
static.hsappstatic.net
-
js.hubspotfeedback.com
-
feedback.hubapi.com
-
js.usemessages.com
-
*.vidyard.com
Content-Security-Policy-Report-Only
ポリシーディレクティブを監視するには、Content-Security-Policy-Report-Onlyヘッダーを有効にします。ポリシーディレクティブは適用されませんが、その効果は監視されるため、ポリシーを試験的に使用する場合に便利です。
このヘッダーを有効にするには、［Content - Security - Policy - Report - Only］チェックボックスをオンにして、ポリシーディレクティブを入力します。
<script> 要素にランダムに生成されたヘッダー値に一致するnonce属性が含まれている場合にのみ実行を許可するには、［ノンスを有効化］を選択します。
Content-Security-Policy-Report-Onlyヘッダーの詳細を確認してください。
Referrer-Policy
リファラー情報をリクエストに含める量を制御するには、Referrer-Policyヘッダーを有効にします。
このヘッダーを有効にするには、［Referrer-Policy］チェックボックスを選択し、ドロップダウンメニューからディレクティブを選択します。
利用可能なディレクティブの定義については、 MozillaのReferrer-Policyガイドをご覧ください。
Feature-Policy
<iframe>要素コンテンツを含む、ページ上でのブラウザー機能の使用を制御するには、Feature-Policyヘッダーを有効にします。
このヘッダーを有効にするには、［Feature-Policy］チェックボックスをオンにして、ディレクティブを入力します。ディレクティブのリストについては、 MozillaのFeature-Policyガイドをご覧ください。
