【2026年版】Nginx セキュリティ設定完全ガイド：SSL/TLS・WAF・アクセス制御の最適化

# /etc/nginx/conf.d/ssl-params.conf

# TLSバージョン: TLS 1.2以上のみ許可（TLS 1.3推奨）
ssl_protocols TLSv1.2 TLSv1.3;

# 暗号スイート: サーバー側の優先順位を使用
ssl_prefer_server_ciphers on;

# TLS 1.2用の暗号スイート（強度の高いもののみ）
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';

# TLS 1.3の暗号スイート（Nginx 1.19.4+）
ssl_conf_command Ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256;

# ECDH曲線
ssl_ecdh_curve X25519:secp384r1:secp256r1;

# セッションキャッシュ
ssl_session_cache shared:SSL:50m;
ssl_session_timeout 1d;
ssl_session_tickets off;

# OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 8.8.8.8 valid=300s;
resolver_timeout 5s;

# DH パラメータ（2048bit以上）
ssl_dhparam /etc/nginx/ssl/dhparam.pem;

# HSTS（HTTP Strict Transport Security）
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

# certbot のインストール（Ubuntu/Debian）
sudo apt install certbot python3-certbot-nginx

# 証明書の取得
sudo certbot --nginx -d example.com -d www.example.com

# 自動更新の設定（cron）
echo "0 3 * * * root certbot renew --quiet --post-hook 'systemctl reload nginx'" | sudo tee /etc/cron.d/certbot-renew

# SSL Labs でテスト
# https://www.ssllabs.com/ssltest/

# コマンドラインでのテスト
openssl s_client -connect example.com:443 -tls1_3
testssl.sh https://example.com

# /etc/nginx/conf.d/access-control.conf

# 管理画面へのアクセス制限
location /admin/ {
    # 許可するIPアドレス
    allow 203.0.113.10;      # オフィスIP
    allow 198.51.100.0/24;   # VPNレンジ
    allow 127.0.0.1;         # ローカル
    deny all;

    proxy_pass http://backend;
}

# API エンドポイントへのアクセス制限
location /api/internal/ {
    allow 10.0.0.0/8;        # 内部ネットワーク
    deny all;

    proxy_pass http://api-backend;
}

# GeoIP2モジュールの設定
geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb {
    auto_reload 60m;
    $geoip2_data_country_code country iso_code;
}

# 特定の国からのアクセスをブロック
map $geoip2_data_country_code $allowed_country {
    default yes;
    CN no;  # 中国
    RU no;  # ロシア
    KP no;  # 北朝鮮
}

server {
    if ($allowed_country = no) {
        return 403;
    }
}

# htpasswd ファイルの生成
# sudo htpasswd -c /etc/nginx/.htpasswd admin

location / {
    auth_basic "Restricted Access";
    auth_basic_user_file /etc/nginx/.htpasswd;

    proxy_pass http://backend;
}

# /etc/nginx/conf.d/rate-limit.conf

# レート制限ゾーンの定義
# $binary_remote_addr: クライアントIPごとに制限
limit_req_zone $binary_remote_addr zone=general:10m rate=10r/s;
limit_req_zone $binary_remote_addr zone=login:10m rate=1r/s;
limit_req_zone $binary_remote_addr zone=api:10m rate=30r/s;
limit_req_zone $binary_remote_addr zone=search:10m rate=5r/s;

# 接続数制限
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;

server {
    # 一般的なページ: 10req/s、バースト20まで許容
    location / {
        limit_req zone=general burst=20 nodelay;
        limit_conn conn_per_ip 50;
        proxy_pass http://backend;
    }

    # ログインページ: 1req/s、バースト5まで（ブルートフォース対策）
    location /login {
        limit_req zone=login burst=5 nodelay;
        limit_req_status 429;
        proxy_pass http://backend;
    }

    # API: 30req/s、バースト50まで
    location /api/ {
        limit_req zone=api burst=50 nodelay;
        limit_req_status 429;
        proxy_pass http://api-backend;
    }

    # 検索: 5req/s、バースト10まで
    location /search {
        limit_req zone=search burst=10 nodelay;
        proxy_pass http://backend;
    }
}

# /etc/nginx/nginx.conf に追加
load_module modules/ngx_http_modsecurity_module.so;

http {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsecurity/main.conf;
}

# メインルールの読み込み
include /etc/nginx/naxsi_core.rules;

server {
    location / {
        # NAXSIの有効化
        SecRulesEnabled;

        # 学習モード（初期導入時）
        # LearningMode;

        # 拒否時のリダイレクト先
        DeniedUrl "/request-denied";

        # ルール閾値
        CheckRule "$SQL >= 8" BLOCK;
        CheckRule "$RFI >= 8" BLOCK;
        CheckRule "$TRAVERSAL >= 4" BLOCK;
        CheckRule "$EVADE >= 4" BLOCK;
        CheckRule "$XSS >= 8" BLOCK;

        proxy_pass http://backend;
    }

    location /request-denied {
        internal;
        return 403 '{"error": "Request blocked by WAF"}';
        add_header Content-Type application/json;
    }
}

# /etc/nginx/conf.d/security-headers.conf

# XSS防止
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "0" always;  # 最新ブラウザではCSPに委譲

# クリックジャッキング防止
add_header X-Frame-Options "SAMEORIGIN" always;

# Content Security Policy
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'nonce-{random}'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; connect-src 'self' https://api.example.com; frame-ancestors 'self';" always;

# Referrer Policy
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Permissions Policy
add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;

# Cross-Origin 系ヘッダー
add_header Cross-Origin-Opener-Policy "same-origin" always;
add_header Cross-Origin-Embedder-Policy "require-corp" always;
add_header Cross-Origin-Resource-Policy "same-origin" always;

# Nginx バージョンの非表示
server_tokens off;

# カスタムエラーページ
error_page 403 /errors/403.html;
error_page 404 /errors/404.html;
error_page 500 502 503 504 /errors/50x.html;

location /errors/ {
    internal;
    root /var/www/html;
}

# 隠しファイルへのアクセス拒否
location ~ /\. {
    deny all;
    access_log off;
    log_not_found off;
}

# バックアップファイルへのアクセス拒否
location ~* \.(bak|config|sql|fla|psd|ini|log|sh|inc|swp|dist|old|save)$ {
    deny all;
    access_log off;
    log_not_found off;
}

# Git リポジトリへのアクセス拒否
location ~ /\.git {
    deny all;
}

# JSON形式のログ出力
log_format json_combined escape=json
    '{'
        '"time_local":"$time_local",'
        '"remote_addr":"$remote_addr",'
        '"remote_user":"$remote_user",'
        '"request":"$request",'
        '"status":"$status",'
        '"body_bytes_sent":"$body_bytes_sent",'
        '"request_time":"$request_time",'
        '"http_referrer":"$http_referer",'
        '"http_user_agent":"$http_user_agent",'
        '"http_x_forwarded_for":"$http_x_forwarded_for",'
        '"ssl_protocol":"$ssl_protocol",'
        '"ssl_cipher":"$ssl_cipher",'
        '"request_id":"$request_id"'
    '}';

access_log /var/log/nginx/access.json json_combined;
error_log /var/log/nginx/error.log warn;

# 高頻度アクセスの検出（1分間に100回以上）
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# 4xx/5xx エラーの多いIP
grep -E '"status":"(4|5)[0-9]{2}"' /var/log/nginx/access.json | \
    jq -r '.remote_addr' | sort | uniq -c | sort -rn | head -20

# 不審なUser-Agentの検出
grep -iE '(sqlmap|nikto|nmap|masscan|zgrab)' /var/log/nginx/access.log

# /etc/nginx/sites-available/production.conf

upstream backend {
    server 127.0.0.1:3000;
    keepalive 32;
}

# HTTP → HTTPS リダイレクト
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://$server_name$request_uri;
}

# HTTPS サーバー
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.com www.example.com;

    # SSL証明書
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # SSL設定（別ファイルからインクルード）
    include /etc/nginx/conf.d/ssl-params.conf;

    # セキュリティヘッダー
    include /etc/nginx/conf.d/security-headers.conf;

    # サーバー情報の非表示
    server_tokens off;

    # レート制限
    limit_req zone=general burst=20 nodelay;
    limit_conn conn_per_ip 50;

    # アクセスログ
    access_log /var/log/nginx/example.com.access.json json_combined;
    error_log /var/log/nginx/example.com.error.log warn;

    # メインアプリケーション
    location / {
        proxy_pass http://backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Request-ID $request_id;
    }

    # 静的ファイル
    location /static/ {
        root /var/www/html;
        expires 1y;
        add_header Cache-Control "public, immutable";
    }

    # ヘルスチェック
    location /health {
        access_log off;
        return 200 'OK';
        add_header Content-Type text/plain;
    }

    # 隠しファイル・バックアップファイルの拒否
    location ~ /\. { deny all; }
    location ~* \.(bak|sql|log|sh|old)$ { deny all; }
}