混在コンテンツはブロックされる【GoogleのSecurity Blogより】

皆さんのWebサイトは混在コンテンツは大丈夫でしょうか。

昨年までは、常時SSLがまだ大きな話題でしたがもう時代は変わり常時SSLは前提にあり、その上で混在コンテンツをどうしていくかというフェーズになりました。Webのダイナミックさがよくわかります。

2019年10月3日にGoogleのSecurity Blogでこのような記事が公開されました。

No More Mixed Messages About HTTPS（HTTPSにおける混在コンテンツはもう嫌）

Web運営に密接に関わる部分だと思いますので、まだ英語記事ですがざっと目を通しておくと良いと思います。

混在コンテンツについて

そもそも混在コンテンツとは、混合コンテンツ、ミクスドコンテンツ、mixed contentsなどと言われています。

「コンテンツがミックスしてる？」
「何が混在？」

と思う人も、まずはGoogleが出しているページ『混合コンテンツとは』から抜粋します。

最初の HTML が安全な HTTPS 接続で読み込まれ、その他のリソース（画像、動画、スタイルシート、スクリプトなど）が安全ではない HTTP 接続で読み込まれると、混合コンテンツが発生します。 これが混合コンテンツと呼ばれるのは、同じページを表示するために HTTP と HTTPS 両方のコンテンツが読み込まれているためで、最初のリクエストは HTTPS で保護されています。 最新のブラウザでは、この種のコンテンツに関する警告が表示され、このページに安全でないリソースが含まれていることがユーザーに示されます。

サイトを常時SSL化（サイトのすべてのページをHTTPS化）にしたのにURLに鍵マークが出ずに「保護されていない通信」という表示が出てしまうという経験したことがある人もいるのではないでしょうか。

これは、リソースの中にhttpの物（画像、動画など）が混じっており完全にHTTPSでの通信ができていないということです。

このことを混在コンテンツと言っています。

GoogleがHTTPとHTTPSの混在コンテンツがあるページでの混在コンテンツをブロックするようになる

Google Chromeユーザーは今、すべてのメジャーなプラットフォームにおいて閲覧時間の90%をHTTPSに費やしているそうです。これは、Googleが提唱してきたHTTPSへの推奨を進めた結果で、ここから更に混在コンテンツ対策を厳しくし完全なHTTPSサイトを作っていこうとしています。それが2020年です。

またGoogleは、HTTPSの通信の中にHTTPの通信があること（混在コンテンツがあること）でユーザーのプライバシーとセキュリティを脅かしていると言っており、特に画像、音声、動画の読み込みについて問題があると言っています。これは、ユーザー第1のGoogleからするとよろしくない自体ということになります。

そして、Chrome79以降、Google Chromeはデフォルトですべての混在コンテンツをブロックするように徐々に移行していくとのマイルストーンを出しています。

ただしこのChrome79では、ブラウザの設定次第でブロックが解除できるようにもしているため、一気に変えることはせず徐々に完全な変更をしていくようにするそうです。
これは混乱を避けるために行う対応となります。

現在はChrome77で、2019年12月がChrome79がstableチャンネルになるようです。

stableチャンネル

Stable チャンネルは Chrome テストチームによって十分にテスト済みであり、ほとんどのユーザーに使用をおすすめできます。

マイナー リリースは 2～3 週間ごと、メジャー リリースは 6 週間ごとに行われます。
(引用)Chrome ブラウザのリリース チャンネル

さらに2020年1月（あと4ヶ月）のChrome80、2020年2月（あと5ヶ月）でリリース予定のChrome81からは、デフォルトでブロックされるようになり明確なセキュリティUXを実現するようになるということで、この2020年に向けて混在コンテンツ問題は大きく動きそうです。

繰り返しになりますが、昨年までは、常時SSLがまだ大きな話題でしたがもう時代は変わり常時SSLは前提にあり混在コンテンツをどうしていくかというフェーズになりました。

情報を追いかけていくのは大変ですが、
自分たちでも日々アップデートしていきましょう！

私、穂苅智哉の情報は、以下のFacebookページTwitterアカウントを御覧ください！
※友達申請をいただける方は、お手数ですがメッセージを添えておねがいいたします。

Facebook
▶https://www.facebook.com/tomoya.hokari.79

Twitter
▶https://twitter.com/tomoyanhokarin