SSLとdisable設定の基本解説と注意すべきセキュリティ警告

2025 11/28

2025/11/28

はじめに

目的

本章では、本ドキュメントの目的と読み方をわかりやすく説明します。SSL/TLS証明書の検証を一時的に無効化したり回避したりする手法を、複数のツールごとに実践的に示します。具体的なコマンド例や設定方法と、実務で注意すべき点を併せて扱います。

範囲

対象はcurl、Node-RED、Azure API Management（APIM）、Node.js環境変数などです。各環境ごとに設定手順と動作イメージを示します。解説は必要最小限の専門用語で行い、すぐ試せる例を中心にします。

想定読者

開発者、運用担当者、テストエンジニアを想定しています。SSLの基本概念をおおまかに理解している方に向けた内容です。初学者でも実行できるように手順を丁寧に示します。

注意事項

SSL検証を無効にすることは安全性を低下させます。テストや一時的対応に限定し、本番環境では常に有効にしてください。本書ではリスクと回避策も明確に示します。

curlコマンドでSSL検証を無効化する方法

概要

curlでSSL証明書の検証を無効化すると、自己署名証明書や期限切れの証明書でも接続できます。開発やテスト環境で使う場面が主です。本番では推奨しません。

基本的な使い方

最も簡単な方法はオプションを付ける方法です。どちらも同じ動作をします。
例：
curl -k https://expired.badssl.com/
curl --insecure https://expired.badssl.com/

接続の詳細を確認したい場合は-vや--verboseを併用すると、SSLハンドシェイクの情報が見えます。

毎回指定しない方法（~/.curlrc）

ホームディレクトリに設定ファイルを作ると、毎回オプションを付ける手間が省けます。作り方の例：
echo "insecure" > ~/.curlrc
ファイルは他のユーザーから読まれないように権限を制限してください（例：chmod 600 ~/.curlrc）。この設定はcurlを呼び出すプログラムからも有効になる点に注意してください。

注意点と代替手段

SSL検証を無効化すると中間者攻撃に対して脆弱になります。可能なら以下を検討してください：
– 正しいCA証明書を指定する（--cacertや--capath）
– テスト用のローカルCAを信頼する
これらの方法は安全性を保ちながら接続問題を解決できます。

Node-REDでのSSL検証無効化

概要

Node-REDアプリケーションでSSL証明書の検証を無効化する方法を整理します。開発やテスト環境で自己署名証明書を使う際に使われますが、本番環境では避けるべきです。

方法1: アプリ起動時に環境変数を設定

Node-REDを起動する前にプロセス変数を設定します。Node.jsのエントリポイントで次の一行を追加します。

process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0';

これにより同一プロセス内のすべてのTLS検証が無効になります。

方法2: Windows（PowerShell）での起動時指定

PowerShellから起動する場合は、環境変数を設定してからnode-redを実行します。

$env:NODE_TLS_REJECT_UNAUTHORIZED = "0"
node-red

バッチやサービス起動時にも同様の環境変数を渡すことができます。

方法3: settings.jsで環境変数を設定

Node-REDの設定ファイルsettings.js内で起動前に環境変数を注入する方法があります。ファイル冒頭でprocess.envを設定すると、Node-RED本体とノードに適用されます。

方法4: Node-RED UIでのTLS設定

HTTPリクエストノードやサーバーノードはUI上で「Enable secure connection」を使います。TLS設定ノードを追加して証明書や鍵を指定できます。自己署名を許容する場合は、CAや検証設定で調整します。

注意点

検証無効化は通信の安全性を損ないます。開発・検証時のみ使用し、本番では必ず有効化して正しい証明書を使ってください。

Azure API Management（APIM）でのSSL検証

概要

Azure API Management（APIM）には、PostmanのようにワンボタンでSSL検証を無効化するオプションはありません。運用環境では正しい証明書を使うことが推奨されます。テスト目的での代替手段を以下に示します。

テスト時の推奨

開発や検証はPostmanやcurlなど外部ツールで行ってください。APIMは本番向けのゲートウェイ機能を提供します。

代替策

バックエンドに信頼された公開証明書を設定します。これが最も安全で簡単です。
開発用の自己署名証明書を利用する場合は、APIM側でそのルート証明書を信頼するように構成します。これにより検証を通せます。
カスタムドメインを使う際は、その証明書が正しくチェーンされているか、名前が一致しているかを必ず確認してください。

バックエンドエンティティでの無効化手順（簡易）

AzureポータルでAPI Managementインスタンスを開きます。
左メニューの「Backends」を選び、「+ Add」をクリックします。
バックエンドのURLを指定し、TLS関連設定で「Validate certificate chain」と「Validate certificate name」をオフにできます（検証用のみ）。

注意点

この無効化はテスト用途に限定してください。セキュリティリスクが高く、本番環境では必ず有効化した状態で運用してください。

環境変数を使用したシステム全体での無効化

概要

Node.jsアプリ全体でSSL/TLS検証を無効化するには、環境変数 NODE_TLS_REJECT_UNAUTHORIZED=0 を設定して起動します。これによりNodeプロセス内での証明書検証が無効化され、すべてのHTTPS接続に影響します。テスト用途に限る手法です。

設定方法（例）

Linux/macOS（一時的）
NODE_TLS_REJECT_UNAUTHORIZED=0 node app.js
Windows（PowerShell）
$env:NODE_TLS_REJECT_UNAUTHORIZED=’0′; node app.js
package.json の start スクリプト例
“start”: “NODE_TLS_REJECT_UNAUTHORIZED=0 node app.js” （Windowsでは cross-env の利用を推奨）
アプリ内での設定（同様のリスク）
process.env.NODE_TLS_REJECT_UNAUTHORIZED = ‘0’;