【AlmaLinux 9】Apache中級者講座 第5回：SSL/TLS極限設定とHTTP/2・HTTP/3完全対応

こんにちは！「LINUX工房」管理人の「リナックス先生」です。
「Apache中級者講座」も後半戦に突入！第5回のテーマは、「SSL/TLSの最適化」と「次世代プロトコル（HTTP/2・HTTP/3）」への対応です。

Googleの検索順位（SEO）への影響やユーザーのプライバシー保護の観点から、Webサイトの常時SSL化は必須となりました。しかし、暗号化通信はサーバーに計算負荷をかけ、通信の往復（ハンドシェイク）を増やすため、設定次第ではサイトが重くなってしまいます。

---

1. SSL/TLS A+評価を獲得するための暗号化設定

世界中のエンジニアが参考にする「Qualys SSL Labs」の診断でA+を取るには、古いプロトコル（TLS 1.0/1.1）を完全に切り捨て、強度の高い暗号スイート（Cipher Suite）を選択する必要があります。

1-1. ssl.conf の高度な最適化

AlmaLinux 9の /etc/httpd/conf.d/ssl.conf を編集し、以下の設定を適用します。これにより、前方秘匿性（PFS）が確保され、将来的に秘密鍵が漏洩しても過去の通信を解読できないようになります。

sudo vi /etc/httpd/conf.d/ssl.conf

# 古いSSL/TLSを無効化（TLS 1.2と1.3のみ許可）
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1

# 強度の高い暗号スイートのみを指定
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384

# サーバー側の優先順位を尊重
SSLHonorCipherOrder on

# セッション再開（Session Resumption）を有効化し、再接続を高速化
SSLSessionCache shmcb:/run/httpd/sslcache(512000)
SSLSessionCacheTimeout 300

---

2. TLS 1.3の導入とハンドシェイクの高速化

AlmaLinux 9に搭載されているOpenSSL 3.0以降は、標準でTLS 1.3に対応しています。TLS 1.3は、セキュリティが向上しているだけでなく、通信開始時のやり取り（Round Trip）を1回減らすことができ、体感速度が劇的に向上します。

2-1. OCSPステープリングの有効化

通常、ブラウザは証明書が失効していないかを確認するために認証局（CA）に問い合わせますが、これが遅延の原因になります。サーバー側が事前に確認結果を取得してブラウザに送る「OCSPステープリング」を有効にします。

SSLUseStapling On
SSLStaplingCache "shmcb:logs/ssl_stapling(32768)"

---

3. HTTP/2の有効化とサーバープッシュの理解

HTTPS化が完了したら、次は**HTTP/2**を有効にします。HTTP/2は1つの接続で複数のリソース（画像やCSS）を同時に並列転送できるため、画像が多いサイトでは効果絶大です。

3-1. mod_http2の有効化

# 設定ファイルに追記
Protocols h2 http/1.1

※ApacheのEvent MPM（第1回で設定済み）が動作していることが必須条件です。

---

4. AlmaLinux 9で最新のHTTP/3（QUIC）に対応する

最新の**HTTP/3**は、TCPではなくUDP（QUICプロトコル）を使用します。これにより、スマートフォンのような移動中に回線が切り替わる環境でも通信が途切れない強力な接続維持能力を発揮します。

Apache 2.4.58以降、公式に mod_http2 がHTTP/3に対応しました。AlmaLinux 9の標準パッケージが追い付いていない場合は、バックポート版や自前ビルドが必要になることもありますが、設定自体は以下のようになります。

# HTTP/3を有効にする
Protocols h3 h2 http/1.1

# UDP 443番ポートで待ち受ける
<VirtualHost *:443>
    # Alt-Svcヘッダでブラウザに「HTTP/3が使えるよ」と教える
    Header always set Alt-Svc 'h3=":443"; ma=86400'
</VirtualHost>

---

5. AIを活用した証明書更新の自動監視と異常検知

Let’s Encryptなどで自動更新（Certbot）を組んでいても、稀にDNS認証の失敗や設定不備で更新が止まることがあります。これを防ぐために、AIを活用した「外形監視プロンプト」を用意しましょう。

5-1. AIプロンプト：SSL証明書の健全性診断

以下のコマンド結果をAIに貼り付けて、有効期限や脆弱性の有無をチェックさせます。

echo | openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -text

【AIへの依頼内容】
「上記の証明書情報を解析し、有効期限があと何日か算出してください。また、署名アルゴリズムや鍵の長さが現在のセキュリティ基準を満たしているか、プロの視点で評価してください」

---

総まとめ：安全性とスピードは両立できる

第5回の講座、お疲れ様でした。

TLS 1.3の導入、A+判定に向けた暗号スイートの選定、そしてHTTP/2・HTTP/3への対応。これらを完璧にこなせば、あなたのApacheサーバーは「世界基準」のセキュリティと速度を手に入れたことになります。

次回、第6回「mod_rewriteを駆使した複雑なURLルーティングとSEO対策」では、アクセスを自在に操る「正規表現の魔術」について解説します。正規表現はAIと最も相性の良い分野です。複雑な転送設定を瞬時に生成する方法も公開します！