サイトにアクセスしたときに、ついついどんな証明書使っているのか、ちゃんとTLSv1.2を使っているのか、そんなことが気になってしまう。

最近自分の住む自治体のサイトにアクセスした時にはhttpsになっていたのだけれども隣の市はhttpだった。
思いつく限りの近隣の市町村の公式ページを見ると、ほとんどhttpだった。

ついにchromeのアドレスバーにhttpだと『保護されていません』と表示されるようになったけれども、多くのページは大体httpsになっていて、httpを見るのも結構減ってきたかなとおもっていたけれど、やはり役所は遅れているっぽい。

というわけで、地方自治体の公式サイトは全体的にどうなっているのか確認してみた

地方自治体の公式サイト一覧がない！！

地方自治体一覧は総務省がPDFとエクセルを公開している。http://www.soumu.go.jp/denshijiti/code.html

だが、それだけで一元化された公式サイト一覧がないのだ。

困っている人はおおくて、一覧を作ってくれている人はいるが、
個人のプロジェクトの域を越えない。
メンテはされていないけれども、0から一覧を作るよりかはいいので、そういう先人たちの努力に乗っかることにした。

今回参考にしたのはここ
https://github.com/code4fukui/localgovjp

結構デッドリンクがおおかった。
httpからhttpsに変わったサイトとかもあったし、そもそもドメインも別になってしまったサイトもあった。

ドメインが変わったパターンでよくあったのが、
県のドメインのサブドメインを使っているサイトだったのが、市町村の独自ドメイン（lg.jp）に変わったりしたところも多かった。

リダイレクトを使っているところもあれば、完全にデッドリンクのものもあった。
HTTPステータスが200以外だったら都度正しいURLをしらべて、全部がアクセスできるようになるまでやってみた。

調べたのは全国の市町村、東京特別区、政令指定都市の区
全部で1916ある内、一つだけ証明書エラーでクローラーが到達出来なかったものがあるので、
それを抜かした1915サイトを調べてみた。

なお、証明書エラーの詳細だが、中間証明書がサーバーに設定されていなかったようでエラーになった。

httpとhttpsの比率

ほとんどhttpになっていて、わずか126サイトのみhttpsになっている。
httpsとしているものは、常時TLSになっているもののみだ。

地方自治体は世の中でもhttps化から遅れが目立つ界隈と言える。

サーバー情報

httpヘッダにServerの情報が書かれている場合があるので、それを集めてみた。

本当はApacheにバージョン名などがついてきているところが多かったが、
平坦にして、ミドルウェアの名前だけで集計してみた。

ほとんどがApacheで、その次にServer名を表示させないパターンがきていた。
nginxは3位に入っているが、たった7%だ。

世の中ではnginxは30%くらいシェアを得ているらしいが、まだまだ地方自治体界隈ではApache一強である。
またIISなどもある一方、全然聞いたことのないサーバーも使っているところもあるようだ。

証明書発行機関はどこがおおい

わずかしか無かったhttpsサイトで、その証明書を発行しているのはどこか
サーバー証明書の一個上の中間証明書のCNを集めてみた。

1位はGlobalSign
国内の大手企業だ。
法人向けでむっちゃ高い。
年間数万

2位はJPRSだ。
ここはjpドメインの管理をしている団体で、証明書もとりあつかっているのはしらなかった。
運営組織の実在までを確認するということで相当お堅い証明書になっていそうだ。
実際の発行業務は指定事業者と言われる別企業が行っているが、そこをみてみるとドメイン認証だけだったら結構安めのプランもあった。

3位はAlphaSSLだ。
ここは割りかし安い。
サイトもやすそう。個人で使うには高いが法人なら安い分類

グラフにはでていないが、4件だけLet’s encryptもあった。
ここは無償の証明書発行機関で、3ヶ月ごとに更新が必要だが、全自動でできる便利な証明書。
我々のような個人サイトにもTLSを普及させるために企業や大学が手を結び作ったもので、信頼性が高いと各ブラウザもみとめている。ウチのブログもそれにしている。
だが、自治体の公式サイトにこれを使うところもあるとは驚いた。

クローラーを動かしてみた感想

Server名など結構出しているところが多く、特にバージョンがどう見ても古いところもあった
Apache2.0系もいくつかあったので早くバージョンアップをしたほうがいいところは多いのかも

2000サイト近くあるが、これを現在一応アクセス可能な一覧が出来たので
ちゃんと更新できる形で公開出来たらと思う。