HubSpotでのSSLとドメインセキュリティー

アカウントにドメインを接続すると、Google Trust Servicesを介して標準のSAN SSL証明書が自動的にプロビジョニングされます。これは通常は数分で終わりますが、最大で4時間かかる場合があります。

カスタムSSL追加オプションを購入した場合は、カスタムSSL証明書をHubSpotにアップロードすることができます。TLSバージョンやセキュリティーヘッダーなど、接続されているドメインごとにセキュリティー設定を構成することもできます。

注：SSLプロビジョニングプロセス中にエラーが発生した場合は、SSL証明書エラーに関するトラブルシューティングガイドを参照してください。

SSL 証明書を事前にプロビジョニングする

既存のサイトをHubSpotに移動している場合は、SSLのダウンタイムが発生しないようにSSL証明書を事前にプロビジョニングしておく必要があります。ドメインをHubSpotに接続中に、SSL証明書を事前にプロビジョニングできます。

• 別のウィンドウで、DNSプロバイダーのアカウントにログインし、自分のDNSレコードにアクセスします。一般的なDNSプロバイダーでDNSレコードを編集する手順については、DNSセットアップガイドをご確認ください。 
• HubSpotで、ダイアログボックスのDCVレコードの値をコピーし、DNSプロバイダーアカウントの新しいレコードに貼り付けます。DNSの変更が反映されて更新が完了するまでに最大24時間かかる場合があります。

ドメインセキュリティー設定

HubSpot に接続されている各サブドメインのセキュリティー設定をカスタマイズできます。セキュリティー設定には、ウェブサイトのプロトコル（HTTP と HTTPS）、TLS バージョン、およびウェブサイトのセキュリティーヘッダーが含まれます。

ドメインのセキュリティー設定を更新するには、次の手順を実行します。

• HubSpotアカウントにて、メインのナビゲーションバーに表示される設定アイコンsettingsをクリックします。
• 左のサイドバーメニューで［ウェブサイト］>［ドメインとURL］の順に移動します。
• ドメインの横にある［編集］をクリックし、［ドメインセキュリティー設定を更新］を選択します。

HTTPSプロトコル

サイトのすべてのページをHTTPSで安全に読み込むよう求めることができます。この設定が有効になっている場合は、画像やスタイルシートなどのHTTP経由で読み込まれるコンテンツがサイト上で読み込まれなくなります。HTTPS サイト上の HTTP 経由で読み込まれるコンテンツは、混在コンテンツと呼ばれます。ページ上の混在コンテンツエラーを解決する方法を確認してください。

HTTPSプロトコルを有効にするには、［HTTPSが必須］チェックボックスを選択します。

TLS バージョン

既定で、HubSpot サーバーは TLS 1.0 以降を使用した接続を受け入れます。

サポートされているTLSバージョンを変更するには、［TLSバージョン］ドロップダウンメニューをクリックして、サポートする最低のTLSバージョンを選択します。最低設定より低い TLS バージョンを使用しようとする接続は失敗します。

セキュリティーヘッダー

ドメインセキュリティーを設定し、ドメインごとにセキュリティーヘッダーを有効にすることができます。

HTTP Strict Transport Security（HSTS）

HTTP Strict Transport Security（HSTS）を有効にすることで、ウェブサイトに余分なセキュリティーのレイヤーを追加できます。HSTS は、すべての HTTP リクエストを HTTPS リクエストに変換するようにブラウザーに指示します。HSTSを有効にすると、サブドメイン上のURLに対して行われるリクエストのレスポンスにHSTSヘッダーが追加されます。

• HSTSを有効にするには、［セキュリティーヘッダー］タブをクリックしてから、［HTTP Strict Transport Security（HTSS）］チェックボックスを有効にします。

• ブラウザーがHTTPをHTTPSリクエストに変換することを記憶しておく時間を設定するには、［期間（max-age）］ドロップダウンメニューをクリックして期間を選択します。
• ドメインの HSTS ヘッダーにプレロードディレクティブを含めるには、［プレロードを有効にする］ チェックボックスを有効にします。HSTS をプレロードする方法について説明します。
• 選択されたサブドメインに属しているすべてのサブドメインに HSTS ヘッダーを含めるには、［サブドメインを含める］ チェックボックスを有効にします。例えば、「www.examplewebsite.com」のHSTSが有効になっており、［サブドメインを含める］チェックボックスがオンになっている場合は、「cool.www.examplewebsite.com」でもHSTSが有効になります。

HSTS ヘッダーの詳細を確認してください。

追加のドメインセキュリティー設定（CMS Hubのみ）

「CMS Hub Starter」、「Professional」、または「Enterprise」アカウントを所有している場合は、以下の追加のセキュリティー設定を有効にできます。

X-Frame-Options

ブラウザーが<frame>、<iframe>、<embed>、または<object>タグでページをレンダリングできるかどうかを示すには、X-Frame-Options応答ヘッダーを有効にします。

X-Frame-Optionsを有効にするには、［X-Frame-Options］チェックボックスを有効にしてから、ドロップダウンメニューから［ディレクティブ］を選択します。

• ドメイン上のページが上記タグ内のページに読み込まれないようにするには、［deny］を選択します。
• ドメイン上のページが自分のドメイン内でのみ上記タグに読み込まれるようにするには、［sameorigin］を選択します。
  
  
  
  

X-Frame-Optionsヘッダーの詳細を確認してください。

X-XSS-Protection

クロスサイトスクリプティングが検出されたときにページが読み込まれないようにすることによって、古いウェブブラウザーのユーザーのセキュリティーレイヤーを追加するには、X-XSS-Protectionヘッダーを有効にします。

このヘッダーを有効にするには、［X-XSS-Protection］チェックボックスをオンにしてから、ドロップダウンメニューから［XSS設定］を選択します。

• XSSフィルタリングを無効にするには、［0］を選択します。
• クロスサイトスクリプティング攻撃が検出されたときにページの安全でない部分を削除するには、［1］を選択します。
• 攻撃が検出された場合にページのレンダリングを防止するには、［1; mode=block］を選択します。
  
  
  
  

X-XSS-Protectionヘッダーの詳細を確認してください。

X-Content-Type-Options

MIMEタイプスニフィングからページをオプトアウトするには、X-Content-Type-Optionsヘッダーを有効にします。この設定を有効にすると、ブラウザーはContent-TypeヘッダーでアドバタイズされたMIMEタイプに従うように指示されます。

X-Content-Type-Optionsヘッダーの詳細を確認してください。

Content-Security-Policy

ユーザーエージェントがページに読み込むことができるリソースを制御するには、Content-Security-Policyヘッダーを有効にします。このヘッダーはクロスサイトスクリプティング攻撃を防止するために役立ちます。

Content-Security-Policyヘッダーを有効にするには、［Content-Security-Policy］チェックボックスをオンにしてから、［ポリシー指示］を指定します。利用可能なディレクティブのリストについては、MozillaのContent-Security-Policyヘッダーガイドをご覧ください。

ランダムに生成されたヘッダー値と一致するノンス属性が含まれている場合にのみ<script>要素の実行を許可するには、［nonceを有効化］を選択します。

注：HubSpotからのすべてのスクリプトとHubSpotでホスティングするすべてのスクリプトについて、リクエストごとにランダムな値を自動的に生成します。

HubSpotがホスティングするページで全機能を確保するには、次のドメインとディレクティブを含める必要があります。

Content-Security-Policy-Report-Only

ポリシーディレクティブを監視するには、Content-Security-Policy-Report-Onlyヘッダーを有効にします。ポリシーディレクティブは適用されませんが、影響は監視されるため、ポリシーを使用して実験する場合に便利です。

このヘッダーを有効にするには、［Content-Security-Policy-Report-Only］チェックボックスをオンにしてから、［ポリシー指示］を入力します。

ランダムに生成されたヘッダー値と一致するノンス属性が含まれている場合にのみ<script>要素の実行を許可するには、［nonceを有効化］を選択します。

Content-Security-Policy-Report-Onlyヘッダーの詳細を確認してください。

Referrer-Policy

リファラー情報をリクエストに含める量を制御するには、Referrer-Policyヘッダーを有効にします。

このヘッダーを有効にするには、［Referrer-Policy］チェックボックスをオンにしてから、ドロップダウンメニューから［ディレクティブ］を選択します。

利用可能なディレクティブの定義については、MozillaのReferrer-Policyガイドをご覧ください。

Permissions-Policy

<iframe>要素コンテンツを含む、ページ上でのブラウザー機能の使用を制御するには、Permissions-Policyヘッダーを有効にします。

このヘッダーを有効にするには、［Permissions-Policy］チェックボックスをオンにしてから、［ディレクティブ］を入力します。ディレクティブのリストについては、MozillaのPermissions-Policyガイドをご覧ください。