TLSは、ブラウザとサーバーの間の通信を安全に運ぶための、現在の標準のルールです。かつて使われていた SSL の後継にあたり、今 HTTPS の通信を守っているのは TLS です。それでも現場では「SSL」という呼び方が慣習として残っていて、「SSL証明書」も実際には TLS の通信に使われています。名前が混ざっているのは、中身が入れ替わったあとも看板だけが残ったからです。
封をするだけでなく、相手と封も確かめる
封をした書類を専用の配達袋で届ける運用にたとえると、TLS がしていることは3つあります。
- 書類そのものを暗号化して、外から読まれにくくする
- 配達袋の封が破れていないかを確かめ、途中の書き換え（改ざん）を見つける
- 送り先が本物かを証明書で確かめてから受け渡す
中身を隠すだけでなく、相手の正しさと、途中で開けられていないことまで確かめるのが TLS です。ログインや会員登録のフォーム、決済ページでのカード情報、個人情報を扱う API、管理画面へのアクセス。守りたいやり取りは、この配達袋に入れて運びます。
設定したあとに見るところ
TLS は、設定したら終わりではありません。
- 証明書の有効期限を監視する
- 古い暗号方式を無効にする。同じ TLS でも、古い方式が残っていると守りが弱くなる
http://で来たアクセスをhttps://へ転送（リダイレクト）する- 開発環境と本番環境で設定が食い違わないようにする
TLS が守るのは通信の経路です。サーバーに保存したデータの管理や、誰が何を見られるかの権限設定まで、自動で安全になるわけではありません。