Google が Google Chrome での安全ではないダウンロードからユーザーを保護

Google Chrome は、2021 年 1 月から HTTPS サイトからの混在コンテンツの表示と HTTP ファイルのダウンロードをデフォルトでブロックします。これにより、Salesforce 製品内の安全なページからの非 HTTPS ダウンロードや画像がブロックされる可能性があります。カスタムコンテンツがセキュア HTTPS ホストを通じて送信されていることを確認してください。

この記事では、Salesforce のコア製品に焦点を当てます。以下の製品についてはそれぞれのリンク先を参照してください。

• Marketing Cloud
• Pardot
• Salesforce CPQ

他のクラウドや製品については、下記の「この変更による他のクラウドや製品への影響」の項を参照してください。

影響を受けるものは?

この変更により、Salesforce 内の安全なページから開始した非 HTTPS のダウンロードや画像にエンドユーザーがアクセスできなくなる可能性があります。

• 画像

安全でない HTTP ページでホストされている画像や動画を安全な HTTPS ページで表示すると、壊れた画像が表示されます。 

• ダウンロード

安全でない HTTP または FTP サイトでホストされているリンクや添付ファイルを安全な HTTPS Webページからクリックするとエラーになります。

可能な対応策は?

カスタムコンテンツがセキュア HTTPS ホストを通じて送信されていることを確認してください。HTTPS を通じた送信ではデータが暗号化されるため (TLS) 、中間者攻撃などの攻撃を防御できます。HTTPS の設定方法は、利用しているサービスによって異なります。上記から該当するサービスのリンクを選んで、HTTPS の設定に関する詳細情報を参照してください。詳細は、Google Chrome ブログを参照してください。
 

この変更による他のクラウドや製品への影響は?

Salesforce 技術部門は、この変更が Salesforce のクラウド製品にどのような影響を与えるのかについて評価を行い、新しい情報が手に入り次第、随時この記事を更新します。
 

Commerce Cloud 

カスタムメールテンプレートに混在コンテンツが含まれていないか確認してください。この変更の影響を受けるのは、お客様が管理しているカスタムメールテンプレートのみです。
 

Industries Cloud

Vlocity 

お客様が開発したカスタム UI と Apex クラスに混在コンテンツ問題がないか確認してください。カスタム UI としては、Visualforce ページ、Aura コンポーネント、そして安全なホストから提供される LWC または HTML/CSS/JS コンテンツがあります。カスタム Apex クラスの場合は、コードやデータに含まれているか、または 外部 API から受け取って UI で表示される埋め込み URL 変数を確認します。HTTP URL から提供される安全でない埋め込みコンテンツは、安全な HTTPS ホストによって削除または置換されることがあります。
 

Experience Cloud (旧 Community Cloud) 

Visualforce ページ、Lightning コンポーネント、コミュニティ設定で混在コンテンツが使用されていないか確認します。また、コンポーネントで作成または設定されているダウンロード可能なコンテンツを参照するリンクで HTTPS が使用されていることを確認します。

Salesforce CMS コンテンツ
外部で参照されるメディアを作成するときには、コンテンツの完全な機能が維持されるように安全な「https://」URLを使用します。安全でない URL を使用している外部参照メディアは、デフォルトではサムネイル画像やプレビューが表示されなくなりました。

Google がこの変更を行う理由は?

安全でないダウンロードは、ユーザーのセキュリティとプライバシーにとってリスクとなります。たとえば、安全でない方法でダウンロードしたファイルは、攻撃者によってマルウェアに置き換えられてしまう可能性があります。また、安全でない方法でダウンロードしたユーザーの銀行取引明細書を盗聴者が盗み見たりするおそれもあります。こうしたリスクに対処するために、Google は最終的に Chrome での安全でないダウンロードのサポートを廃止する予定です。Google は、Chrome では徐々に、安全な (HTTPS) ページで安全なファイル以外をダウンロードできなくすると発表しています。「タイムライン」セクションに説明されている一連のステップに沿って、Google は混在コンテンツのダウンロード、つまり安全なページで開始された非 HTTPS ダウンロードのブロックを開始する予定です。これは、Google が昨年発表した、安全なページ上のすべての安全でないサブリソースをブロックする計画に従った展開です。まず Google は、安全なページで開始される安全でないダウンロードを対象にしています。現在 Chrome でプライバシーやセキュリティが危険にさらされていることをユーザーに知らせていないため、このケースについて懸念されています。

詳細情報を入手するには?

Google からの詳細な情報と予定タイムラインについては、Google Chrome ブログを参照してください。