ERR_SPDY_INADEQUATE_TRANSPORT_SECURITYエラーの原因と解決方法

ERR_SPDY_INADEQUATE_TRANSPORT_SECURITYエラーとは

サーバーを運用しているIT管理者やネットワーク管理者の方なら、ユーザーから「ERR_SPDY_INADEQUATE_TRANSPORT_SECURITY」というエラーコードについての問い合わせを受けたことがあるかもしれません。また、自分のWebサイトにアクセスした際に、このエラーを目にすることもあるでしょう。

このエラーが発生すると、以下のようなメッセージが表示されます。

「*ウェブサイトのアドレス* のウェブページは一時的にダウンしているか、新しいウェブアドレスへ完全に移動した可能性があります。」

このエラーが表示されると、該当するWebサイトにアクセスできなくなります。主にChromeユーザーに発生するエラーですが、Firefoxでも表示される場合があります。一方、Internet ExplorerやMicrosoft Edgeでは、このエラーは表示されません。

エラーの原因

この問題の原因はHTTP/2にあります。具体的には、サイトがHTTP/2接続を開始したものの、ネゴシエートされた暗号スイート（Cipher Suite）がブラウザのブラックリストに登録されているものであったため、ブラウザ側がサイトへのアクセスをブロックしているのです。そのため、一般的な解決策は、HTTP/2の要件を満たすように暗号スイートの順序を並べ替えることになります。

ヒント：SSL Labsでサーバー設定をチェックしよう

SSL Labsを利用すれば、サーバーの設定状況を簡単に診断できます。診断結果は、サーバー構成をさらに最適化する際の貴重な参考情報となります。公式サイトにアクセスしてサーバーをテストしてみてください。TLSやSSLに関する有益な記事も多数掲載されています。

方法1：IIS Crypto 2を使用する

IIS Cryptoは管理者向けに設計されたツールで、サーバー上の各種プロトコル、暗号スイート、ハッシュの有効化／無効化を行うことができます。SSL/TLS暗号スイートの並べ替えにも対応しており、IIS環境で暗号スイートの順序が問題となっている今回のようなケースでは、このツールを使うことで効率的に問題を解決できます。

IIS Crypto 2には「Best Practices（ベストプラクティス）」オプションが搭載されており、適切な暗号スイートの選択をサポートします。このオプションを選択すると、HTTP/2の要件に応じて、必要な暗号が自動的に追加・除外されます。以下にIIS Crypto 2の使用手順を示します。

1. 公式サイトから、ご利用の環境に合ったバージョンをダウンロードします。
2. ダウンロード後、Crypto 2をインストールして起動します。
3. 「Best Practices」ボタンをクリックします。
4. Crypto 2が各列のチェックボックスを自動的に選択・解除します。
5. 適切なプロトコル、ハッシュ、暗号、キーエクスチェンジが選択されたら、「Apply（適用）」をクリックします。
6. システムを再起動すれば完了です。これで問題が解決するはずです。

注意： Crypto上で暗号スイートが表示されない場合は、最新バージョンを使用しているか確認してください。古いバージョンではすべての項目を検出できないことがあります。

方法2：暗号スイートを手動で並べ替える

RFCなどで公開されているHTTP/2の仕様を確認し、ブラックリストに登録されている暗号を使用していないかチェックしましょう。この問題は通常、ブラックリスト対象の暗号をネゴシエートしていることで発生します。つまり、適切なプロトコルと暗号を使用することが解決の鍵となります。また、暗号スイートの並べ替えも、必ずHTTP/2の要件に従って行ってください。

注意： 暗号スイートの有効化・無効化などの設定変更を行った後は、変更を反映させるために必ずシステムを再起動してください。