HSTS ヘッダの解釈
利用者のブラウザが https://www.example.com/ にアクセスしたところ，次の応答ヘッダを受信した。この後 1 年以内のブラウザの動作として，適切なものはどれか。ここで，ブラウザは HSTS に対応しており，example.com 及びそのサブドメインは HSTS プリロードリストに登録されていないものとする。
Strict-Transport-Security: max-age=31536000; includeSubDomains- ア利用者が http://api.example.com/ を開くと，HTTP のリクエストを送信せずに https://api.example.com/ に接続する。
- イ利用者が http://img.www.example.com/ へのリンクを選択すると，HTTP のリクエストを送信せずに https://img.www.example.com/ に接続する。
- ウhttps://www.example.com/ への接続時にサーバ証明書の検証エラーが発生すると，警告画面を表示し，利用者が承認すれば接続を続ける。
- エその後 https://www.example.com/ から max-age=0 の同ヘッダを受信しても，最初の受信から 1 年が経過するまでは https への置換えを続ける。
正解と解説を見る
正解 イ
この問題の基礎知識
- HSTS（RFC 6797）は，Strict-Transport-Security 応答ヘッダによって，以後 max-age 秒の間はそのホストに HTTPS だけで接続するようブラウザに指示する仕組みである。
- HSTS を適用するホストに対して，ブラウザは http の URI を https に置き換えてから接続し，TLS の証明書エラーなどが起きた場合は利用者に続行させずに接続を終了する。
- includeSubDomains は，ヘッダを送ったホストのドメイン名のサブドメインにもポリシーを適用する指示である。ドメイン名は右側ほど上位の階層であり，例えば a.b.example.com は b.example.com のサブドメインである。
- max-age=0 を受信するとそのホストのポリシーは削除される。HSTS プリロードリストは，初回の接続前から HSTS を適用させるためにブラウザに組み込まれたリストである。
includeSubDomains の対象は，ヘッダを送った HSTS ホストである www.example.com のサブドメインである。api.example.com は www.example.com のサブドメインではないので，このヘッダの対象にならない。
includeSubDomains によって，www.example.com とそのサブドメインに HSTS のポリシーが適用される。ブラウザは http の URI のスキームを https に置き換えてから接続するので，平文の HTTP リクエストは送信されない。
HSTS ホストへの接続で TLS の警告やエラーが発生した場合，ブラウザは接続を終了しなければならない。利用者に続行の選択肢を与えないこと（no user recourse）が求められている。
max-age=0 を受信すると，ブラウザはそのホストを HSTS ホストとして扱うのをやめ，includeSubDomains を含めて保持していたポリシーを削除する。有効期間は最後に受信したヘッダで更新される。
照合の根拠（4 件）
- イ（正解）/ア（誤り）: ポリシーは HSTS ホスト（www.example.com）とそのサブドメインに適用され，兄弟の api.example.com には及ばない
The OPTIONAL "includeSubDomains" directive is a valueless directive which, if present (i.e., it is "asserted"), signals the UA that the HSTS Policy applies to this HSTS Host as well as any subdomains of the host's domain name.
RFC 6797 · Section 6.1.2（新しいタブで開きます） - イ（正解）: 接続前に URI のスキームを https に置き換える
The UA MUST replace the URI scheme with "https" [RFC2818]
RFC 6797 · Section 8.3（新しいタブで開きます） - ウ（誤り）: HSTS ホストへの接続で TLS のエラーがあれば接続を終了しなければならない
When connecting to a Known HSTS Host, the UA MUST terminate the connection (see also Section 12 ("User Agent Implementation Advice")) if there are any errors, whether "warning" or "fatal" or any other error level, with the underlying secure transport.
RFC 6797 · Section 8.4（新しいタブで開きます） - エ（誤り）: max-age=0 を受信すると HSTS ホストとして扱うのをやめる
NOTE: A max-age value of zero (i.e., "max-age=0") signals the UA to cease regarding the host as a Known HSTS Host, including the includeSubDomains directive (if asserted for that HSTS Host).
RFC 6797 · Section 6.1.1（新しいタブで開きます）
ヘッダは www.example.com が送ったので includeSubDomains の対象は *.www.example.com であり，img.www.example.com（イ）は対象，api.example.com（ア）は対象外。プリロード無しと問題文で固定している。