HTTP 認証

HTTP はアクセス制御と認証の基本的な枠組みを提供しています。最も一般的な HTTP 認証は、 "Basic" 認証に基づいています。このページでは、 HTTP の認証の枠組みを紹介し、サーバーで HTTP の "Basic" 認証を使用してアクセスを制限する方法を紹介します。

一般的な HTTP 認証の枠組み

RFC 7235 は、サーバがクライアント要求を challenge し、クライアントが認証情報を提供するために使用できる HTTP 認証フレームワークを定義します。 チャレンジとレスポンスの流れは以下のようになります：サーバは少なくとも１回目の challenge でクライアントに 401 (Unauthorized) レスポンスステータスを返し、WWW-Authenticate レスポンスヘッダーを含めて認証方法を提供します。サーバで自身を認証したいクライアントは Authorization リクエストヘッダフィールドにクレデンシャルを含めることでそれを行うことができます。通常、クライアントはユーザーにパスワードのプロンプトを表示し、正しい Authorization ヘッダーを含むリクエストを発行します。

A sequence diagram illustrating HTTP messages between a client and a server lifeline.

図に示すような "Basic" 認証の場合、やり取りを安全に行うためにHTTPS (TLS) 接続を介して行われなければなりません。

プロキシ認証

プロキシ認証にも同じチャレンジとレスポンスのメカニズムを使用できます。この場合、認証を必要とする中間プロキシです。リソース認証とプロキシ認証の両方が共存できるため、異なるヘッダーとステータスコードのセットが必要です。プロキシの場合、チャレンジしているステータスコードは 407 (Proxy Authentication Required) で、Proxy-Authenticate レスポンスヘッダは プロキシサーバーに資格情報を提供するために、Proxy-Authorization リクエストヘッダーが使用されます。

アクセスの不許可

特定のリソースにアクセスするのに十分ではないが有効な資格情報を (プロキシ) サーバーが受け取った場合、サーバーは 403 Forbidden ステータスコードでレスポンスする必要があります。401 Unauthorized または 407 Proxy Authentication Required とは異なり、このユーザーは認証できません。

オリジン間の画像の認証

ブラウザによって最近修正された潜在的なセキュリティホールは、クロスサイトイメージの認証です。Firefox 59 以降、異なるオリジンから現在のドキュメントにロードされた画像リソースは、HTTP認証ダイアログ (バグ 1423146) をトリガすることができなくなり、攻撃者が任意の画像をサードパーティ製のページに埋め込んでユーザの認証情報を盗むことを防ぎます。

HTTP 認証の文字エンコーディング

ブラウザはユーザー名とパスワードに utf-8 エンコーディングを使用します。Firefox は  ISO-8859-1 を使用していましたが、他のブラウザとの互換性のために utf-8 に変更され、 バグ 1419658 で説明されているような潜在的な問題を回避します。

WWW-Authenticate 及び Proxy-Authenticate ヘッダー

WWW-Authenticate と Proxy-Authenticate レスポンスヘッダーは、リソースへのアクセスに使用する認証メソッドを定義します。 どの認証方式を使用するかを指定する必要があるため、認証を希望するクライアントは資格情報の提供方法を知ることができます。 これらのヘッダーの構文は次のとおりです。

WWW-Authenticate: <type> realm=<realm>
Proxy-Authenticate: <type> realm=<realm>

ここで、<type> は認証スキームです ("Basic" は最も一般的なスキームであり、以下で紹介します)。realm は保護された領域を記述するため、または保護の範囲を示すために使用されます。これは、「ステージングサイトへのアクセス」などのようなメッセージで、ユーザーがアクセスしようとしているスペースを知ることができます。

Authorization 及び Proxy-Authorization ヘッダー

Authorization と Proxy-Authorization リクエストヘッダーには、(プロキシ) サーバを持つ User agent を認証するための認証情報が含まれています。ここでは、タイプが再び必要となり、その後にどの認証方式が使用されるかに応じて符号化または暗号化されることができるクレデンシャルが続きます。

Authorization: <type> <credentials>
Proxy-Authorization: <type> <credentials>

認証方式

一般的な HTTP 認証フレームワークは、いくつかの認証方式によって使用されます。スキームはセキュリティ強度とクライアント、またはサーバーソフトウェアでの可用性が異なる場合があります。

最も一般的な認証方式は "Basic" 認証方式であり、これについては以下で詳しく説明します。IANA は認証スキームのリストを管理していますが、Amazon AWS などのホストサービスが提供する他のスキームもあります。一般的な認証方式には次のものがあります。

  • Basic (RFC 7617、base64 でコード化された認証情報を参照),
  • Bearer (RFC 6750、OAuth 2.0 で保護されたリソースにアクセスするベアラトークンを参照),
  • Digest (RFC 7616を参照、Firefox では md5 ハッシュだけがサポートされています。SHA 暗号化のサポートについては バグ 472823 を参照),
  • HOBA (RFC 7486 (ドラフト) を参照、HTTPオリジン認証 (HTTP Origin-Bound Authentication)、デジタル署名ベース),
  • Mutual (draft-ietf-httpauth-mutual を参照),

  • AWS4-HMAC-SHA256 (AWS docs を参照).

Basic 認証方式

"Basic" HTTP 認証方式は RFC 7617 で定義されており、Base64 を使用してエンコードされたユーザー ID とパスワードのペアとしてクレデンシャルを送信します。

Basic 認証の安全性

ユーザーIDとパスワードはネットワークを介してクリアテキスト (base64 でエンコードされていますが、base64 は可逆エンコードです) として渡されるため、Basic 認証方式は安全ではありません。 HTTPS/TLSは Basic 認証と組み合わせて使用する必要があります。 これらの追加のセキュリティ強化機能がなければ、機密情報や重要な情報を保護するために Basic 認証を使用しないでください。

Apache 及び Basic 認証によるアクセス制限

Apache サーバー上のディレクトリをパスワードで保護するには、.htaccess ファイルと .htpasswd ファイルが必要です。

.htaccess ファイルは通常、次のようになります。

AuthType Basic
AuthName "Access to the staging site"
AuthUserFile /path/to/.htpasswd
Require valid-user

.htaccess ファイルは .htpasswd ファイルを参照し、各行にはユーザ名とパスワードをコロン (":") で区切って記述します。実際のパスワードは暗号化されている (この場合は md5) ので表示できません。必要に応じて .htpasswd ファイルの名前を変更することができますが、このファイルには誰にもアクセスできないように注意してください。(Apacheは通常 .ht* ファイルへのアクセスを禁止するように設定されています)。

aladdin:$apr1$ZjTqBB3f$IF9gdYAGlMrs2fuINjHsz.
user2:$apr1$O04r.y2H$/vEkesPhVInBByJUkXitA/

nginx 及び Basic 認証によるアクセス制限

nginx の場合は、保護する場所とパスワードで保護された領域に名前を指定する auth_basic ディレクティブを指定する必要があります。auth_basic_user_file ディレクティブは上の Apache の例のように、暗号化されたユーザー資格情報を含む .htpasswd ファイルを指します。

location /status {                                       
    auth_basic           "Access to the staging site";
    auth_basic_user_file /etc/apache2/.htpasswd;
}

URL 内の認証情報を使用したアクセス

多くのクライアントでは次のように、ユーザー名とパスワードを含むエンコードされた URL を使用してログインプロンプトを回避できます。

https://username:password@www.example.com/

これらのURLの使用は推奨されていません。Chrome ではセキュリティ上の理由から、URL の username:password@ 部分も削除されています。Firefox ではサイトが実際に認証を要求するかどうかをチェックし、そうでない場合 Firefox はユーザーに「"username" というユーザー名で "www.example.com" というサイトにログインしようとしていますが、ウェブサイトは認証を必要としません。これはあなたを騙そうとしている可能性があります。」と警告します。

関連情報

最終更新日:

, by MDN contributors
関連トピック
  1. HTTP
  2. Guides:
  3. Resources and URIs
    1. Identifying resources on the Web
    2. Data URIs
    3. Introduction to MIME Types
    4. Complete list of MIME Types
    5. Choosing between www and non-www URLs
  4. HTTP guide
    1. Basics of HTTP
    2. Overview of HTTP
    3. Evolution of HTTP
    4. HTTP Messages
    5. A typical HTTP session
    6. Connection management in HTTP/1.x
    7. Protocol upgrade mechanism
  5. HTTP security
    1. Content Security Policy (CSP)
    2. HTTP Public Key Pinning (HPKP)
    3. HTTP Strict Transport Security (HSTS)
    4. Cookie security
    5. X-Content-Type-Options
    6. X-Frame-Options
    7. X-XSS-Protection
    8. Mozilla web security guidelines
    9. Mozilla Observatory
  6. HTTP access control (CORS)
  7. HTTP authentication
  8. HTTP caching
  9. HTTP compression
  10. HTTP conditional requests
  11. HTTP content negotiation
  12. HTTP cookies
  13. HTTP range requests
  14. HTTP redirects
  15. HTTP specifications
  16. Feature policy
  17. References:
  18. HTTP headers
    1. Accept
    2. Accept-Charset
    3. Accept-Encoding
    4. Accept-Language
    5. Accept-Ranges
    6. Access-Control-Allow-Credentials
    7. Access-Control-Allow-Headers
    8. Access-Control-Allow-Methods
    9. Access-Control-Allow-Origin
    10. Access-Control-Expose-Headers
    11. Access-Control-Max-Age
    12. Access-Control-Request-Headers
    13. Access-Control-Request-Method
    14. Age
    15. Allow
    16. Alt-Svc [翻訳する]
    17. Authorization
    18. Cache-Control
    19. Clear-Site-Data
    20. Connection
    21. Content-Disposition
    22. Content-Encoding
    23. Content-Language
    24. Content-Length
    25. Content-Location
    26. Content-Range
    27. Content-Security-Policy
    28. Content-Security-Policy-Report-Only
    29. Content-Type
    30. Cookie
    31. Cookie2
    32. DNT
    33. Date
    34. ETag
    35. Early-Data
    36. Expect
    37. Expect-CT
    38. Expires
    39. Feature-Policy
    40. Forwarded
    41. From
    42. Host
    43. If-Match
    44. If-Modified-Since
    45. If-None-Match
    46. If-Range
    47. If-Unmodified-Since
    48. 索引
    49. Keep-Alive
    50. Large-Allocation [翻訳する]
    51. Last-Modified
    52. Location
    53. Origin
    54. Pragma
    55. Proxy-Authenticate
    56. Proxy-Authorization [翻訳する]
    57. Public-Key-Pins [翻訳する]
    58. Public-Key-Pins-Report-Only [翻訳する]
    59. Range
    60. Referer
    61. Referrer-Policy
    62. Retry-After
    63. Sec-WebSocket-Accept [翻訳する]
    64. Server
    65. Server-Timing
    66. Set-Cookie
    67. Set-Cookie2
    68. SourceMap
    69. HTTP Strict Transport Security
    70. TE [翻訳する]
    71. Timing-Allow-Origin [翻訳する]
    72. Tk
    73. Trailer [翻訳する]
    74. Transfer-Encoding
    75. Upgrade-Insecure-Requests [翻訳する]
    76. User-Agent
    77. Vary
    78. Via [翻訳する]
    79. WWW-Authenticate
    80. Warning [翻訳する]
    81. X-Content-Type-Options [翻訳する]
    82. X-DNS-Prefetch-Control
    83. X-Forwarded-For
    84. X-Forwarded-Host
    85. X-Forwarded-Proto
    86. X-Frame-Options
    87. X-XSS-Protection
  19. HTTP request methods
    1. CONNECT [翻訳する]
    2. DELETE
    3. GET
    4. HEAD [翻訳する]
    5. OPTIONS
    6. PATCH [翻訳する]
    7. POST
    8. PUT [翻訳する]
    9. TRACE
  20. HTTP response status codes
    1. 100 Continue
    2. 101 Switching Protocols
    3. 200 OK
    4. 201 Created
    5. 202 Accepted
    6. 203 Non-Authoritative Information
    7. 204 No Content
    8. 205 Reset Content
    9. 206 Partial Content
    10. 300 Multiple Choices
    11. 301 Moved Permanently
    12. 302 Found
    13. 303 See Other
    14. 304 Not Modified
    15. 307 Temporary Redirect
    16. 308 Permanent Redirect
    17. 400 Bad Request
    18. 401 Unauthorized
    19. 403 Forbidden
    20. 404 Not Found
    21. 405 Method Not Allowed
    22. 406 Not Acceptable
    23. 407 Proxy Authentication Required
    24. 408 Request Timeout
    25. 409 Conflict
    26. 410 Gone
    27. 411 Length Required
    28. 412 Precondition Failed
    29. 413 Payload Too Large
    30. 414 URI Too Long
    31. 415 Unsupported Media Type
    32. 416 Range Not Satisfiable
    33. 417 Expectation Failed
    34. 418 I'm a teapot
    35. 422 Unprocessable Entity
    36. 425 Too Early
    37. 426 Upgrade Required
    38. 428 Precondition Required
    39. 429 Too Many Requests
    40. 431 Request Header Fields Too Large
    41. 451 Unavailable For Legal Reasons
    42. 500 Internal Server Error
    43. 501 Not Implemented
    44. 502 Bad Gateway
    45. 503 Service Unavailable
    46. 504 Gateway Timeout
    47. 505 HTTP Version Not Supported
    48. 511 Network Authentication Required
  21. CSP directives
    1. CSP: base-uri
    2. CSP: block-all-mixed-content
    3. CSP: child-src [翻訳する]
    4. CSP: connect-src [翻訳する]
    5. CSP: default-src
    6. CSP: font-src [翻訳する]
    7. CSP: form-action [翻訳する]
    8. CSP: frame-ancestors [翻訳する]
    9. CSP: frame-src [翻訳する]
    10. CSP: img-src [翻訳する]
    11. CSP: manifest-src [翻訳する]
    12. CSP: media-src [翻訳する]
    13. CSP: object-src [翻訳する]
    14. CSP: plugin-types [翻訳する]
    15. CSP: referrer
    16. CSP: report-uri [翻訳する]
    17. CSP: require-sri-for [翻訳する]
    18. CSP: sandbox [翻訳する]
    19. CSP: script-src
    20. CSP: style-src [翻訳する]
    21. CSP: upgrade-insecure-requests
    22. CSP: worker-src
    23. report-to
  22. CORS errors
    1. Reason: CORS disabled
    2. Reason: CORS header 'Access-Control-Allow-Origin' does not match 'xyz'
    3. Reason: CORS header 'Access-Control-Allow-Origin' missing
    4. Reason: CORS header ‘Origin’ cannot be added
    5. Reason: CORS preflight channel did not succeed
    6. Reason: CORS request did not succeed
    7. Reason: CORS request external redirect not allowed
    8. Reason: CORS request not HTTP
    9. Reason: Credential is not supported if the CORS header ‘Access-Control-Allow-Origin’ is ‘*’
    10. Reason: Did not find method in CORS header ‘Access-Control-Allow-Methods’
    11. Reason: Multiple CORS header 'Access-Control-Allow-Origin' not allowed
    12. Reason: expected ‘true’ in CORS header ‘Access-Control-Allow-Credentials’
    13. Reason: invalid token ‘xyz’ in CORS header ‘Access-Control-Allow-Headers’
    14. Reason: invalid token ‘xyz’ in CORS header ‘Access-Control-Allow-Methods’
    15. Reason: missing token ‘xyz’ in CORS header ‘Access-Control-Allow-Headers’ from CORS preflight channel
  23. Feature-Policy directives
    1. Feature-Policy: autoplay
    2. Feature-Policy: camera
    3. Feature-Policy: encrypted-media
    4. Feature-Policy:fullscreen
    5. Feature-Policy:geolocation
    6. Feature-Policy:microphone
    7. Feature-Policy: midi
    8. Feature-Policy: payment
    9. Feature-Policy: vr
    10. document-domain [翻訳する]