HSTS（HTTP Strict Transport Security）

サーバが応答ヘッダで「以後このサイトへは必ずHTTPSで接続せよ」とブラウザに指示する仕組み。HTTPでの初回アクセスを狙って暗号化を剥がす中間者攻撃（SSLストリッピング）を防ぐ。

WebサーバからブラウザにHTTPS接続を強制するHTTPレスポンスヘッダ。一度HSTSヘッダを受信したブラウザは、指定期間中は当該サイトへの接続を自動的にHTTPSに切り替え、中間者攻撃やSSLストリッピングを防止する。

WebサーバからブラウザにHTTPS接続を強制するHTTPレスポンスヘッダ。一度HSTSヘッダを受信したブラウザは、指定期間中は当該サイトへの接続を自動的にHTTPSに切り替え、中間者攻撃やSSLストリッピングを防止する。

WebサーバがStrict-Transport-Securityレスポンスヘッダを返し、以後の一定期間（max-age）はそのドメインにHTTPSでしか接続しないようブラウザに指示する仕組み。利用者がhttp://で始まるURLを入力してもブラウザが自動的にHTTPSに切り替えるため、SSLストリッピングなどの中間者攻撃を防げる。初回接続時の弱点は、ブラウザに組み込まれたHSTSプリロードリストで補う。

WebブラウザなどのクライアントからHTTPやHTTPSのリクエストを受け、HTMLや画像などのコンテンツやアプリケーションの処理結果を返すサーバ。通常はTCPの80番（HTTP）と443番（HTTPS）で待ち受け、1台で複数のドメインを扱うときはHostヘッダやTLSのSNIでサイトを判別する。公開するWebサーバはDMZに置き、前段にリバースプロキシ、ロードバランサ、WAFを配置することが多い。

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）のサーバへのスクリプトからのアクセスを、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確かめる。単純でないリクエストの前には、ブラウザがOPTIONSメソッドのプリフライトリクエストを送って許可を確かめる。

Webページが読み込んでよいスクリプトや画像などの取得元を、Content-Security-PolicyレスポンスヘッダでWebブラウザに指示する仕組み。許可していない取得元のスクリプトやインラインスクリプトの実行をブラウザが拒否するため、XSSの脆弱性が残っていても被害を抑えられる。nonceやハッシュ値で個別のスクリプトの実行を許可する方式もある。

WebブラウザとWebサーバの間で、HTMLや画像などのリソースをやり取りするアプリケーション層のプロトコル。クライアントのリクエストにサーバがレスポンスを返す形式で、GET、POSTなどのメソッドを持つ。状態を持たない（ステートレス）ため、状態の維持にはcookieなどを使う。

HTTPの通信をTLSで保護する方式で、HTTPSと呼ばれ、既定のポート番号は443番である。サーバ証明書で接続先が正当なサーバであることを確認し、通信内容の暗号化と改ざんの検知を行う。現在はほぼすべてのWebサイトで常時HTTPS化が求められている。

インターネット上の通信を暗号化し、通信相手の認証と改ざんの検知を行うためのプロトコルで、SSLの後継に当たる。サーバ証明書でサーバの真正性を確かめ、鍵交換で共有した鍵で通信を暗号化し、HTTPSやメールの送受信などで使われる。最新版はTLS 1.3で、古いバージョンは無効化が推奨される。