[11] [[応答]]の [DFN[[RUBYB[HTTPS状態]@en[HTTPS state]]]]は、 当該[[応答]]の[[輸送路]]となった [[HTTPS]] ([[HTTP]] over [[TLS]]) の安全性に関する[[利用者エージェント]]の判断を表します。 * 仕様書 [REFS[ - [9] '''[CITE@en-US[Fetch Standard]] ([TIME[2015-09-03 20:55:08 +09:00]] 版) ''' - [19] [CITE@en-US[Fetch Standard]] ([TIME[2015-09-03 20:55:08 +09:00]] 版) - [17] [CITE@en-US[Fetch Standard]] ([TIME[2015-09-03 20:55:08 +09:00]] 版) - [21] [CITE@en-US[Fetch Standard]] ([TIME[2015-09-03 20:55:08 +09:00]] 版) - [44] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2015-11-06 03:51:21 +09:00]] 版) - [38] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2015-09-29 22:07:19 +09:00]] 版) - [24] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2015-09-29 22:07:19 +09:00]] 版) - [52] [CITE@en[Service Workers Nightly]] ([TIME[2017-02-16 20:10:49 +09:00]]) ]REFS] * 意味 [10] [[応答]] [SRC[>>9]]、[[環境設定群オブジェクト]] [SRC[>>38]]、 [CODE(DOMi)@en[[[Document]]]] [SRC[>>44]]、 [CODE(DOMi)@en[[[WorkerGlobalScope]]]] [SRC[>>24]]、 [[サービスワーカー]]の[F[スクリプト資源]] [SRC[>>52]] は、 [DFN[[F[[RUBYB[[[HTTPS状態]]]@en[HTTPS state]]]]]]を持ちます。 [36] その値は [CODE[[[none]]]], [CODE[[[deprecated]]]], [CODE[[[modern]]]] のいずれかです [SRC[>>9, >>38, >>35, >>24]]。既定値は [CODE[none][HTTPS state]] です [SRC[>>9, >>35, >>24, >>52]]。 [15] [[HTTPS]]でない[[輸送路]]の[[応答]]では、 [DFN[[CODE[[[none]]]]]] となります。 [12] 通常の [[HTTPS]] 上の[[応答]]では、 [DFN[[CODE[[[modern]]]]]] となります [SRC[>>9]]。 [13] 移行期間にあると[[利用者エージェント]]が判断した場合は、 [DFN[[CODE[[[deprecated]]]]]] となります [SRC[>>9]]。 [EG[ [14] 使われている[[ハッシュ関数]]が削除されつつある場合、 弱い [[cipher suite]] の場合、 [[内部名]]の[[証明書]]の場合、 極端に長い[[有効期間]]を持つ[[証明書]]の場合などに使えます [SRC[>>9]]。 ]EG] ;; [16] 具体的に何が [CODE[[[deprecated]]]] となるかは、 仕様上は規定されていません。一般的にはこれは[[相互運用性]]の問題を生じさせるように思えますが、 [[セキュリティー]]は[[相互運用性]]より重要と考えられており、 また中長期的には [CODE[[[deprecated]]]] なものはやがて未対応に置き換えられてゆく (ので[[ネットワークエラー]]扱いになる) ため、標準化になじまないのでしょう。 [23] [[環境設定群オブジェクト]]の[[HTTPS状態]]は、 その関連付けられている[[資源]]の配送に使われた[[通信路]]の保安特性を表します [SRC[>>38]]。 実際には対応する[[大域オブジェクト]]の [[HTTPS状態]]となります。 [37] [CODE(DOMi)@en[[[Document]]]] の[[HTTPS状態]]は、 その[[文書]]の配送に使われた[[通信路]]の保安特性を表します [SRC[>>44]]。 [39] [CODE(DOMi)@en[[[WorkerGlobalScope]]]] の[[HTTPS状態]]は、 [[ワーカー]]の[[スクリプト]]の配送に使われた[[通信路]]の保安特性を表します。 [40] [[navigate]] で作られた[[文書]]や [[run a worker]] で作られた[[大域オブジェクト]]には、 作成に使った[[応答]]の [[HTTPS状態]]がコピーされます。 [41] [CODE(JS)@en[[[document.open]]]] ([[overridden reload]]) や [CODE(HTMLa)@en[[[srcdoc]]]] では、呼び出し元の [[HTTPS状態]]がコピーされます。 ;; 詳しくはそれぞれの項を参照。 [56] [[文脈的保安]]か否かの判断では、 [CODE[deprecated]] かどうかが検査されます。 [58] [[Does [VAR[settings]] prohibit mixed security contexts?]] で [CODE[none]] かどうかが検査されます。 [59] [[Should [VAR[response]] to [VAR[request]] be blocked as mixed content?]] で [CODE[modern]] かどうかが検査されます。 * 処理 [20] [[basic fetch]] は、 [[basic fetch]] が直接[[応答]]を作成する場合について、 [[応答]]の[[HTTPS状態]]を[[要求のクライアント]]の[[HTTPS状態]]と同じに設定します [SRC[>>19]]。 [18] [[HTTP-network fetch]] は、 [[HTTPS]] からの[[応答]]について、 [[HTTPS状態]]を [CODE[[[modern]]]] または [CODE[[[deprecated]]]] に設定します [SRC[>>17]]。 [22] [CODE(DOMi)@en[[[Response]]]] [[コンストラクター]]は、 [[HTTPS状態]]を[[入口設定群オブジェクト]]の[[HTTPS状態]]と同じに設定します [SRC[>>21]]。 * 文脈 [47] [CODE(HTMLa)@en[[[ping]]]] [[属性]]の処理に影響します。 [57] [[非認証済応答]]かどうかの判断に影響します。 * 利用者インターフェイス [60] 多くの [[Webブラウザー]]は[[アドレスバー]]に [[HTTPS状態]]に相当する情報を表示します。 [SEE[ [[アドレスバー]] ]] * 関連 [48] [[HTTPS状態]]は、旧来の[[仕様書]]の曖昧な用語「[[保安輸送路]]」 をより明確に規定したものと考えることもできます。 [25] [[insecure origin]]、[[insecure URL]] は、定義で[[応答]]の [[HTTPS状態]]を参照しています。 [26] [[Mixed Content]] の可否の判定は、[[環境設定群オブジェクト]]や[[応答]]の [[HTTPS状態]]を参照しています。 * 歴史 [1] [CITE@en[Introduce authentication state https://www.w3.org/Bugs/Public/show_bug.c... · 6fdb71b · whatwg/fetch]] ( ([TIME[2014-10-30 03:01:53 +09:00]] 版)) [2] [CITE@en[MIX: Convert checks to environment settings objects. · d065309 · w3c/webappsec]] ( ([TIME[2014-10-30 03:03:29 +09:00]] 版)) [3] [CITE@en[Authentication state -> TLS state · b81881d · whatwg/fetch]] ( ([TIME[2014-11-01 03:35:25 +09:00]] 版)) [4] [CITE@en[MIX: s/authentication state/TLS state/g · 8372db0 · w3c/webappsec]] ( ([TIME[2014-11-01 03:35:44 +09:00]] 版)) [5] [CITE@en[Rename TLS state to HTTPS state to avoid confusion with OE. · whatwg/fetch@7022094]] ([TIME[2015-04-09 23:41:19 +09:00]] 版) [6] [CITE@en[Re: CfC: Mixed Content to PR; deadline July 6th.]] ([[Mike West]] 著, [TIME[2015-07-06 23:51:33 +09:00]] 版) [7] [CITE@en[MIX: Drop 'deprecated TLS-protection'. · w3c/webappsec@2fa9d67]] ([TIME[2015-07-07 11:54:18 +09:00]] 版) [8] [CITE@en[Rename HTTPS state one last time. Give examples for "deprecated". Fix… · whatwg/fetch@ee99e4a]] ([TIME[2015-07-28 12:09:57 +09:00]] 版) [FIG(quote)[ [FIGCAPTION[ [27] [CITE[IRC logs: freenode / #whatwg / 20150909]] ([TIME[2015-09-10 11:20:49 +09:00]] 版) ]FIGCAPTION] > > # '''['''13:36''']''' OE ruined the term TLS for me > # '''['''13:43''']''' Yup. Totally understood. > # '''['''13:48''']''' OE? > # '''['''13:48''']''' opportunistic encryption ]FIG] [28] [CITE@en[MIX: HTTPS state update. · w3c/webappsec@06ac637]] ([TIME[2015-09-10 11:30:17 +09:00]] 版) [29] [CITE@en[SECURE: HTTPS state update. · w3c/webappsec@ef42844]] ([TIME[2015-09-10 11:30:26 +09:00]] 版) [30] [CITE[IRC logs: freenode / #whatwg / 20150922]] ([TIME[2015-09-23 13:33:34 +09:00]] 版) [31] [CITE@en[27147 – Expose HTTPS state on responses]] ([TIME[2015-09-23 13:34:07 +09:00]] 版) [32] [CITE@en[SECURE: Drop the flag on the environment settings object. · w3c/webappsec@90210b3]] ([TIME[2015-09-25 19:06:09 +09:00]] 版) [33] [CITE@en[xref HTTPS state · whatwg/fetch@21dee64]] ([TIME[2015-09-27 14:21:45 +09:00]] 版) [34] [CITE@en[Add 'HTTPS state' to settings objects · whatwg/html@6de5241]] ([TIME[2015-09-29 23:41:32 +09:00]] 版) [42] [CITE@en[Add a note about HTTPS state. · w3c/webappsec-secure-contexts@a9603f8]] ([TIME[2015-10-22 11:48:14 +09:00]] 版) [43] [CITE[IRC logs: freenode / #whatwg / 20151105]] ([TIME[2015-11-06 17:56:01 +09:00]] 版) - [35] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2015-09-29 22:07:19 +09:00]] 版) [45] [CITE@en[Move 'HTTPS state' from Window to Document · whatwg/html@68390ce]] ([TIME[2015-11-06 23:26:26 +09:00]] 版) [46] [CITE@en[Use the HTTPS state concept instead of "encrypted connection" · whatwg/html@1ee3316]] ([TIME[2016-02-25 14:07:27 +09:00]] 版) [49] [CITE@en[Editorial: make an HTTPS state value its own thing]] ( ([[annevk]]著, [TIME[2016-05-04 20:49:34 +09:00]])) [50] [CITE@en[Define HTTPS state in terms of Fetch's HTTPS state value]] ( ([[annevk]]著, [TIME[2016-05-05 03:31:57 +09:00]])) [FIG(quote)[ [FIGCAPTION[ [51] [CITE@en-US[Firefox for iOS Makes it Faster and Easier to Use the Mobile Web the Way You Want | The Mozilla Blog]] ( ([TIME[2016-05-22 01:22:18 +09:00]])) ]FIGCAPTION] > With iOS, you can now temporarily ignore these error messages for websites you have deemed as “safe”, but that might register as potentially unsafe by Firefox. ]FIG] [53] [CITE@en[Stop hardcoding the list of schemes that inherit HTTPS state · Issue #255 · whatwg/fetch]] ([TIME[2017-05-09 16:59:38 +09:00]]) [54] [CITE@en[Drop "TLS Protected" in favor of HTTPS state.]] ([[mikewest]]著, [TIME[2018-10-23 01:55:54 +09:00]]) [55] [CITE@en["TLS-protected" link seems not very useful · Issue #82 · w3c/webappsec-referrer-policy]] ([TIME[2018-11-06 16:13:46 +09:00]])