質問: 現在、Salesforceのサイトという仕組みを用いてエンドユーザ向けのマイページを構築しています。 運用開始から2ヶ月ほどはhttp接続をしており、ここ最近になってhttps接続に切り替えました。 このhttp接続をしていた期間のアクセスログをクライアントより求められています。 そこで質問ですが、この期間、http接続を許していたことで考えられるリスクとはどのようなものがあるのでしょうか? マイページの機能には下記があります。 ・ログイン機能(ユーザ毎のID、パスワード) ・直近数ヶ月の利用量、請求金額の表示 ・クーポンの購入(購入にはカード決済などはなく、外部APIにて購入申請をおこなう) 今の世の中、Webサイトはhttpsが常識なのでしょうか。 このような世の中、うっかりhttpでの運用をしてしまった際のリスクを知っておきたいです。 どなたかご回答いただけますと、大変助かります。 どうぞ、宜しくお願い致します。
回答: 最悪を想定すると、 > > ・ログイン機能(ユーザ毎のID、パスワード) > > ・直近数ヶ月の利用量、請求金額の表示 > > ・クーポンの購入(購入にはカード決済などはなく、外部APIにて購入申請をおこなう) > > > この内容が、そのまま漏洩していた可能性は否定できません。通信傍受、された可能性有りとの事です。 さて、 IDやパスワードを取り扱い時点で、HTTPSを使う事は、昨今では常識となっています。 いろいろな、ログインのあるサービスを見られるとよいかと思います。 HTTPでログインさせるサイトは、無いと思います(個人の趣味レベルのサイトは別ですが)。 逆に、私ならログインがHTTPなら、そのサイトは利用しません。 ログインページ以外でも、最近では、通常のお問い合わせフォームなど、 メールアドレスや、個人名を含む場合には、HTTPSを利用するのが普通です。 それでも、Proxyをはさまれたりしてしまえば、情報は見られてしまいますし、 ソーシャルハッキングという手もありますので、 何が安全とはいえませんが、 少なくともHTTPSは、常識の範囲、 うっかりHTTPで運用、は、あり得ないかと。下手すれば、訴訟レベルの話にもなりかねないかと。 ※昨今はログイン後やフォームだけでなく、サイト全面HTTPSという所も多くなってきました。