Chrome で HSTS (Strict‑Transport‑Security) を無効化する方法を知ろう

クロームで HSTS（Strict‑Transport‑Security）を無効化する方法を確認しよう

Chrome で HSTS 設定を無効化する方法をステップごとに説明します。’接続がプライベートではありません’ エラーの対処や、ローカル開発環境での問題解決のヒントを提供します。

時折、ローカル環境で開発したり特定のサイトをデバッグしたりすると、「接続がプライベートではありません」というメッセージとともにアクセスが遮断される経験をされたことがあるかもしれません。この問題を引き起こす要因の一つが HSTS（HTTP Strict Transport Security）ポリシーです。セキュリティ上重要な機能ですが、開発の際には一時的にオフにする必要がある場合があります。

この投稿では、HSTS が何かを簡単に解説し、Chrome でこの設定を無効化するさまざまな方法をステップバイステップでわかりやすく案内します。このガイドを通じて HSTS 関連のエラーをきれいに解決し、開発効率を向上させましょう！

HSTS とは何か、なぜ無効化すべきか？

sequenceDiagram
    participant User as 🧑 ユーザー (ブラウザ)
    participant Server as 🌐 Web サーバー
    participant Attacker as 🚫 中間者攻撃者 (MITM)

    Note over User,Server: ① ユーザーが HTTPS でサイトに最初にアクセス  
    User->>Server: HTTPS リクエスト (GET https://example.com)  
    Server-->>User: 応答 + Strict‑Transport‑Security ヘッダー<br/>(max-age=31536000)

    Note over User: ② ブラウザが HSTS ポリシーを保存<br/>(1年間 HTTPS のみ許可)  
    User-x Attacker: ❌ HTTP によるアクセス試行を遮断 (中間者攻撃防止)  
    User->>Server: ✅ 以後、すべてのリクエストは HTTPS のみで送信  
    Server-->>User: 安全な応答を返す

HSTS は、Web ブラウザが特定のウェブサイトと通信する際に、すべての通信を暗号化された HTTPS プロトコルだけで行うよう強制する Web セキュリティポリシーです。**Web サーバーがブラウザに「今後、私との通信には必ず HTTPS を使ってね！」という特殊な HTTP ヘッダーを送信する形で動作します。**これにより、中間者攻撃 (Man‑in‑the‑Middle Attack) といったセキュリティ脅威を効果的に防ぐことができます。

しかし、この強力なセキュリティ機能は、開発者にとっては障害になることがあります。例えば、HTTPS 設定が必須でないローカル開発環境でテストを行う際、HSTS ポリシーのせいでアクセスが強制的にブロックされることがあります。そういうときには、円滑なテストやデバッグのために一時的に HSTS を無効化する必要があります。

Chrome で HSTS を無効化する方法

Chrome で HSTS 設定を無効化する、いくつかの効果的な方法があります。最も一般的な方法から順番に試してみてください。

1. `chrome://net-internals` を使って設定を削除

chrome://net-internals#hsts で Domain を Delete している様子

最も確実で直接的な方法です。Chrome の内部設定ページにアクセスして、特定のドメインに対する HSTS ポリシーを削除できます。

Chrome のアドレスバーに chrome://net-internals/#hsts を入力して Enter を押します。
Delete domain security policies セクションを探します。
Domain 入力フィールドに、HSTS 設定を削除したいドメイン（例：example.com）を入力します。
右側にある Delete ボタンをクリックします。

これでそのドメインに対する HSTS 設定が削除されます。確認するには、Query HSTS/PKP domain セクションで同じドメインを照会し、「Not found」と表示されれば成功です 😊

2. Chrome のキャッシュおよびクッキーの削除

chrome://settings でインターネット使用履歴削除モーダルを表示した様子

net-internals の操作で解決しない場合、ブラウザのキャッシュに HSTS 情報が残っている可能性があります。

Chrome の設定ページ (chrome://settings) に移動します。
「プライバシーとセキュリティ」メニューから「閲覧履歴データの削除」をクリックします。
「期間」を「全期間」に設定します。
「クッキーと他のサイトデータ」および「キャッシュされた画像とファイル」の項目にチェックを入れ、「データを削除」ボタンを押します。

この方法は HSTS だけでなく他のウェブサイトのログイン情報やデータも一緒に削除されるので、慎重に使ってください。

3. シークレットモードを使う

Chrome のシークレットモードウィンドウ

最もシンプルな一時的解決策です。シークレットモードでは拡張機能の影響を受けにくく、キャッシュやクッキーを使わないため、HSTS ポリシーが適用されない場合が多いです。

ページをシークレットモード (ショートカット: Ctrl+Shift+N または Cmd+Shift+N) で開いてみてください。もしシークレットモードで正常にアクセスできるなら、既存ブラウザの拡張機能やキャッシュが問題の原因である可能性が高いです。

4. ルーター (共有機器) をリセットする

もし上記の方法がすべて通用せず、「接続がプライベートではありません」エラーが継続するなら、お使いの Wi‑Fi ルーターの DNS 設定が改ざんされている可能性もあります。これを “パーミング (pharming)” と呼ぶこともあります。

ルーターの背面または底面にあるリセット (Reset) ボタンを約 10 秒間長押しして初期化してみてください。問題が続くようであれば、ルーター製造元のカスタマーサポートに連絡し、ファームウェアの再インストールを依頼するのがよいでしょう。

制限事項および重要な注意点

HSTS を無効化する前に、必ず理解しておいてほしい点があります。

プリロード (Preloaded) ドメイン

Google は hstspreload.org というリストを通じ、特定のドメインを Chrome ブラウザに内蔵しています。プリロードリストに含まれるドメイン（例：google.com、facebook.com）は、net‑internals で設定を削除しても HSTS を無効化できません。対象ドメインがプリロードリストに入っているかどうかを確認するには、HSTS Preload List サイトでドメインを直接照会できます。

セキュリティ上のリスク

HSTS は重要なセキュリティ機能です。開発やデバッグといった特別な目的のためにのみ一時的に無効化し、作業が終わったら必ず元の状態に戻す習慣をつけることが大切です。HSTS を無効化したまま、セキュリティが検証されていないネットワークでウェブ閲覧を行うことは、セキュリティ脅威にさらされる可能性があります。

よくあるトラブルと解決方法

HSTS 無効化の過程で、別のエラーが発生することもあります。

証明書エラー：エラーメッセージに HSTS、プライバシー保護証明書、または名前不一致に関する内容が含まれている場合、PC の日時が正しく設定されているか確認してみてください。また、ウィルス対策ソフトの “HTTPS 保護” や “HTTPS 検査” 機能が Chrome のセキュリティ機能と干渉を起こしていることがあるので、一時的に無効化してテストしてみることもできます。
拡張機能の競合：シークレットモードで問題が解決した場合、インストールされている Chrome 拡張機能のうちの一つが原因である可能性があります。chrome://extensions ページで拡張機能を一つずつ無効化し、何が問題を引き起こしているか特定してみましょう。

開発効率とセキュリティ、両方を守る方法

これまで、Chrome で HSTS ポリシーを無効化するさまざまな方法をご紹介しました。多くの場合、chrome://net-internals 設定を使うのが最もシンプルで効果的ですが、キャッシュやネットワークの問題など複合要因も考えられます。

HSTS は Web をより安全にするための重要な技術です。しかし、開発者には時折柔軟な対応が求められます。本日学んだ内容をよく覚えておき、開発中に HSTS 関連のトラブルに直面したときは素早く正確に対処してください。作業が終わったら、安全のために設定を元に戻すのを忘れないでください。