【apache】HSTS Strict-Transport-Securityがヘッダーに表示されない

Question

AWS ALB + EC2でPHPサイトを開発しました。

セキュリティ対策で
HTTPSアクセス後、２回目にHTTPアクセスしてきたときも暗号化されるよう
下記のサイトに従って、Apacheに対策を入れました。

AWS ALB 配下で HSTS の設定を行う方法
https://qiita.com/syoimin/items/db85769349d2cb9bda24

しかし、レスポンスヘッダーにStrict-Transport-Securityが表示されません。

VirtualHost内に記載したのですが、こちらのサイトに載っている以外の対応が必要なのでしょうか？

Answer 1

bitnamiを使用していました。
修正していたwordpress用のconfファイルが大元のconfファイルから読み込まれていませんでした。。
大元に読み込ませたところ設定できました。

Answer 2

セキュリティ対策で１回目にHTTPアクセスしてきたときも暗号化されるよう

本題ではありませんが、HSTSで「１回目にHTTPアクセスしてきたときも暗号化」することはできません。1度HTTPSでつながってからでないとHSTSは有効となりません。

Comments

[maisumakun]

> サイトに HTTP を使用してアクセスしたとき、ブラウザーは Strict-Transport-Security ヘッダーを無視します。

https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/Strict-Transport-Security

[kuro22]

ありがとうございます。
こちらとは別にpreload対策についても質問しようとして、ごちゃごちゃになっていました。
質問文を修正しました。