毎月恒例、常時SSL化レポートをお送りします。詳細は、2018年10月版の上場企業の常時SSL化レポート のページからご覧下さい。
今月はというか9月は時期的な理由もあり、企業統合やホールディングス体制移行に伴う上場廃止など上場企業数が減る傾向にありました。前月に対して9社少ない3627社が対象となります。
(平常運転という感じの着実な微増です)
今月で63.1%が対応企業となりました。勢いが減っているということはありませんので喜ばしい限りですね。贅沢言うともっと勢いよく増えて欲しいですが。まぁ勢いが弱まっていないことを素直に喜びましょう。
約1年前の初調査の時には47.3%でしたから、そこから15%強増えたと思えば大したものです。500,600社は対応したということですからね。
常時SSL化判定の洗練
最近、業界関係者の方も本レポートを参考にしてくださっていたり、セミナーや啓蒙資料等々で一次資料として引用頂いているケースもあるそうで大変有り難い限りです。
ここで少し判定の正確性と弊社スタンスについて書いておきたいと思います。
本レポートは毎月出しています。上場企業のURL一覧から証明書情報を取得したり、常時SSL化対応の有効性をチェックしています。が、全てプログラムで自動実行です。人間が毎月3600社目視するってな事はありえませんので、今流行りの言葉でいうとコレもRPAなのでしょう。
で、その判定ロジックはどれほど厳密で正確なのか？
実は「常時SSL化対応している」と判断する基準は、誰が作っても同じ…とはなりません。なぜなら判定が微妙なケースが非常に多いからです。例えば、
「証明書の設置はしているけど中間証明書の設置方法が間違っていて証明書チェーンが切れている」
といったケースですね。これを皆さんならどう判定するでしょうか？
今、弊社の判断基準では「常時SSL化に対応している」です。これに違和感を覚えるかたもおられるかも知れません。学術系の方とか。でも、中間証明書チェーンが切れていても Chrome 等のブラウザが対応サイトとして表示してくれるんですよね。厳密に突っ込み入れるとすれば「誤り」なんですが。
(opensslのs_clientで厳密に見ればブラウザで常時SSL化対応サイトとされていても untrusted なことがある)
これ以外にも色んな例があります。その判断全てに弊社の考えが注入されていて、別の会社が判断すれば異なる結果になる可能性もあります。がまぁ、よっぽどおかしな判断をしない限りは誤差の範囲ですけど。弊社がどういう判断をしているかは毎月レポートの冒頭に書いていますのでご覧下さい。
で、その弊社判断ですが、少しずつ洗練させていきたいとは思ってます。そこで今回、ロジックに少し手を加えました。2018年10月レポート にも書いていますが、
- 301,302を返すサイトもリダイレクトループしない限り先を辿って調査するようにした
- 証明書の設定はされているがページがエラー表示の場合は非対応とした
の2点を変更しました。前者は対応サイト増、後者は対応サイト減のインパクトとなります。余り頻繁に変更するとレポートの意味も薄れてしまうので、段階的に洗練させていくつもりです。洗練の軸に据えるのは「人が見た時に常時SSL化対応したサイトと言えるかどうか」です。
レポートより判定ロジックの話が長くなりました。来月で丁度12回目。年内に7割対応ぐらいいって欲しかったのですが難しそうです。またレポートします。