【Edge】社内サイトがHSTS強制でhttpに戻せない時の例外追加手順

業務でEdgeを使用中、社内サイトがHTTPSでの接続を強制され、HTTPでアクセスできずお困りではありませんか。これはHSTSというセキュリティ機能が原因で、Edgeが一度HTTPSでアクセスしたサイトを安全な接続と認識しているためです。この記事では、EdgeのHSTS強制を解除し、特定の社内サイトにHTTPでアクセスするための例外追加手順を詳しく解説します。

手動でHSTS情報を削除する方法と、組織全体で適用できるEnterpriseModeSiteListの活用方法を紹介し、それぞれの環境に応じた最適な解決策を見つけることができます。

HSTS強制がEdgeでの社内サイトアクセスを妨げる仕組み

HSTS(HTTP Strict Transport Security)は、ウェブサイトへの接続を常にHTTPSに強制するセキュリティ機能です。一度HTTPSでアクセスしたウェブサイトは、次回以降も自動的にHTTPSでの接続が試みられます。

これは中間者攻撃などからユーザーを守るための重要な仕組みですが、社内システムや開発環境などでHTTPアクセスが必要な古いウェブサイトでは問題となることがあります。EdgeはHSTS情報をブラウザ内部に保存するため、たとえアドレスバーに「http://」と入力しても、自動的に「https://」にリダイレクトされてしまい、サイトが表示されない状況が発生します。

この機能はウェブサイト側がHSTSヘッダーを送信することで有効になり、ブラウザはその情報を一定期間記憶します。記憶期間中は、HTTPでのアクセス要求があっても強制的にHTTPSに切り替わるのです。

EdgeでHSTS強制を解除しHTTPアクセスを可能にする手順

特定の社内サイトに対してHSTS強制を解除し、HTTPアクセスを可能にする手順を解説します。この操作はEdgeの内部設定ページから行います。

1. Edgeの内部設定ページを開く
   Edgeのアドレスバーに edge://net-internals/#hsts と入力し、Enterキーを押します。
2. HSTS情報を削除するセクションへ移動する
   表示されたページをスクロールし、「Delete domain security policies」セクションを探します。
3. 対象ドメインを入力する
   「Domain」入力欄にHTTPアクセスしたい社内サイトのドメイン名(例: legacy.example.com)を正確に入力します。サブドメインも含まれる場合は、サブドメインまで含めて入力してください。
4. HSTS情報を削除する
   入力欄の横にある「Delete」ボタンをクリックします。これにより、Edgeが記憶しているそのドメインのHSTS情報が削除されます。
5. Edgeを再起動しアクセスを試す
   Edgeブラウザを一度完全に終了し、再度起動します。その後、対象の社内サイトに「http://」でアクセスを試してください。

一時的な回避策としてのInPrivateウィンドウの利用

HSTS情報は通常モードのブラウザに保存されます。そのため、InPrivateウィンドウ(シークレットモード)であれば、HSTS情報が一時的に適用されない場合があります。ただし、これは永続的な解決策ではありません。

1. 新しいInPrivateウィンドウを開く
   Edgeのメニューボタン(画面右上にある三点リーダー)をクリックし、「新しいInPrivateウィンドウ」を選択します。
2. HTTPでアクセスを試す
   開いたInPrivateウィンドウのアドレスバーに「http://」から始まる対象サイトのURLを入力し、アクセスを試します。

HSTS強制解除後の注意点と関連するトラブル

HSTS情報を削除しても問題が解決しない場合や、複数ユーザー環境での対応について解説します。

HSTS情報を削除しても再度HTTPSにリダイレクトされてしまう場合

Edgeの内部設定でHSTS情報を削除しても、再度HTTPSにリダイレクトされてしまうことがあります。この場合、原因はブラウザではなくウェブサイト側にあります。

ウェブサイト自体がHSTSヘッダーを送信し続けているか、またはサーバー側でHTTPからHTTPSへのリダイレクト設定が恒久的に行われている可能性があります。この状況では、ブラウザの設定だけでは解決できません。ウェブサイトの管理者や開発者に連絡し、サーバー側の設定を確認してもらう必要があります。

複数ユーザー環境でHSTS例外を永続的に適用したい場合

edge://net-internals/#hstsでの手動削除は個人のブラウザ設定に限定され、組織内の多数のPCに適用するには手間がかかります。この場合は、EnterpriseModeSiteList(エンタープライズモードサイトリスト)を活用することで、グループポリシーを通じて一元的に設定を管理できます。

1. EnterpriseModeSiteListのXMLファイルを作成する
   HTTPアクセスを許可するサイトをリスト化するXMLファイルを作成します。例えば、次のような内容です。
   <site-list version="1">
  <site url="http://legacy.example.com">
    <compat-mode>Default</compat-mode>
  </site>
</site-list>
   この例では「http://legacy.example.com」へのアクセスを制御します。ファイル名は任意ですが、例えば「EnterpriseModeSiteList.xml」とします。
2. XMLファイルを共有場所に配置する
   作成したXMLファイルを、組織内のすべてのPCからアクセス可能なネットワーク共有フォルダ(例: \\fileserver\share\EnterpriseModeSiteList.xml)に配置します。
3. グループポリシーでEdgeの設定を構成する
   Windows 11またはWindows 10のグループポリシーエディターを開きます。「コンピューターの構成」→「管理用テンプレート」→「Microsoft Edge」と進みます。
4. エンタープライズモードサイトリストを構成するポリシーを設定する
   「エンタープライズモードサイトリストを構成する」ポリシーをダブルクリックし、「有効」を選択します。「オプション」セクションの「エンタープライズモードサイトリストの場所」に、ステップ2で配置したXMLファイルのパスを入力します。
5. グループポリシーを適用しEdgeを再起動する
   グループポリシーを適用後、対象のPCでEdgeを再起動します。これにより、Edgeは指定されたXMLファイルを参照し、リスト内のサイトへのアクセス方法を制御するようになります。

HSTS情報の削除とEnterpriseModeSiteListによる例外追加の比較

HSTS情報の削除とEnterpriseModeSiteListの活用は、それぞれ異なる目的と適用範囲を持ちます。どちらの方法を選択すべきか、以下の比較表を参考にしてください。

EdgeでHSTS強制により社内サイトにHTTPアクセスできない問題を解決する方法を解説しました。edge://net-internals/#hstsでの手動削除は、個人の環境で一時的に問題を解消する際に有効です。

一方、組織全体で特定のサイトへのHTTPアクセスを永続的に許可したい場合は、EnterpriseModeSiteListを活用したグループポリシー設定が最適です。ご自身の環境や目的に合わせて適切な方法を選択し、業務をスムーズに進めてください。