curl SSL、TLS & プロキシ設定ガイド

SSL & プロキシフラグ クイックリファレンス

curl -k: SSL証明書エラーを無視

動作

-k（または--insecure）フラグは、すべてのSSL/TLS証明書検証を無効にします。curlは、サーバー証明書が信頼されたCAによって署名されているか、ホスト名が一致するか、証明書が期限切れかを確認しません。

使用する場面

自己署名証明書を使用したローカル開発やテスト環境でのみ使用してください。ステージング/本番環境では、代わりに実際のCA証明書と--cacertを使用してください。より安全で明確です。

$ curl -k https://localhost:8443/api/health

curl --cacert: カスタムCA証明書を使用

動作

--cacertフラグは、システムのデフォルトトラストストアの代わりに、PEM形式の特定のCA（認証局）バンドルファイルに対してサーバーのSSL証明書を検証するようcurlに指示します。

使用する場面

サーバーがシステムのトラストストアにないプライベートまたは内部CAによって署名された証明書を使用している場合に使用します。企業環境、Kubernetesクラスター、内部PKIを使用したDockerセットアップで一般的です。

$ curl --cacert /path/to/corporate-ca.pem https://internal-api.example.com/data

curl --cert: クライアント証明書（相互TLS）

動作

--certフラグは、相互TLS（mTLS）用のクライアント側証明書を提供します。mTLSでは、サーバーとクライアントの両方が互いのIDを検証するために証明書を提示します。証明書ファイルはPEMまたはPKCS#12形式である必要があります。

使用する場面

サーバーがクライアント証明書認証を要求する場合に必要です。銀行API、政府サービス、IoTデバイス通信、ゼロトラストアーキテクチャで一般的です。キーが証明書ファイルに埋め込まれていない限り、常に--keyとペアで使用してください。

$ curl --cert client.pem --key client-key.pem https://mtls-api.example.com/secure

curl --key: クライアント証明書の秘密鍵

動作

--keyフラグは、--certで提供されたクライアント証明書とペアになる秘密鍵ファイルを指定します。鍵は証明書と一致する必要があります。鍵がパスワード保護されている場合、curlはパスフレーズの入力を求めます（または--passを使用）。

使用する場面

常に--certと一緒に使用します。秘密鍵が証明書ファイルに既に埋め込まれている場合（PKCS#12 / .p12ファイルで一般的）、--keyを省略できます。

$ curl --cert client.pem --key client-key.pem --cacert server-ca.pem https://api.example.com/secure

curl --tlsv1.2: TLS 1.2以上を強制

動作

--tlsv1.2フラグは、SSL/TLSハンドシェイクの最低許容バージョンとしてTLS 1.2を使用するようcurlに強制します。古いプロトコル（TLS 1.0、1.1、SSLv3）は拒否されます。

使用する場面

最低限のセキュリティ標準を適用するために使用します。TLS 1.2はPCI-DSSコンプライアンスに必要であり、すべての最新サーバーでサポートされています。最新のcurlビルドのほとんどはデフォルトでTLS 1.2以上ですが、このフラグで明示的に指定できます。

$ curl --tlsv1.2 -v https://secure.example.com/api 2>&1 | grep 'SSL connection'

curl --tlsv1.3: TLS 1.3以上を強制

動作

--tlsv1.3フラグは、最速かつ最も安全なTLSバージョンであるTLS 1.3を使用するようcurlに強制します。TLS 1.3はハンドシェイクの余分なラウンドトリップを排除し（0-RTTサポート）、すべての廃止された暗号スイートを削除します。

使用する場面

サーバーがTLS 1.3をサポートしていることがわかっていて、最高のパフォーマンスとセキュリティが必要な場合に使用します。注意：TLS 1.3にはOpenSSL 1.1.1以上または互換性のあるTLSライブラリが必要です。まだすべてのサーバーがサポートしているわけではありません。

$ curl --tlsv1.3 https://modern-api.example.com/data

その他のSSL/TLSオプション

curl -x: HTTP/HTTPSプロキシを使用

動作

-x（または--proxy）フラグは、curlのすべてのトラフィックを指定したプロキシサーバー経由でルーティングします。フォーマットは[protocol://]host[:port]です。サポートされるプロキシプロトコル：HTTP、HTTPS、SOCKS4、SOCKS5。

使用する場面

企業プロキシサーバー、Fiddler・Charles・mitmproxyなどのデバッグツール、地理的制限のテスト、または直接インターネットアクセスが利用できない場合に使用します。代わりにhttp_proxy / https_proxy環境変数を設定することもできます。

$ curl -x http://proxy.example.com:8080 https://api.example.com/data

curl --socks5: SOCKS5プロキシを使用

動作

--socks5フラグは、TCP接続にSOCKS5プロキシを使用するようcurlに指示します。HTTPプロキシとは異なり、SOCKS5はTCPレベルで動作し、HTTPだけでなくあらゆるプロトコルを処理できます。デフォルトではDNS解決はローカルで行われます。プロキシ経由でDNSを解決するには--socks5-hostnameを使用してください。

使用する場面

SSHトンネル（ssh -D）、Torネットワークアクセス、またはプロキシが非HTTPプロトコルを処理する必要がある場合に使用します。SOCKS5はUDPをサポートし、オプションでDNSも処理できます。HTTPプロキシよりも柔軟です。

$ curl --socks5 localhost:1080 https://api.example.com/data

curl --proxy-user: プロキシ認証

動作

--proxy-user（または-U）フラグは、プロキシサーバーに認証資格情報を送信します。フォーマットはuser:passwordです。サーバー認証（-u）とは別です。

使用する場面

プロキシサーバーが認証を要求する場合に必要です。企業およびエンタープライズネットワーク環境で一般的です。資格情報はターゲットサーバーではなくプロキシに送信されます。

$ curl -x http://proxy.corp.com:3128 -U user:pass https://external-api.com/data

curl --noproxy: 特定のホストでプロキシをバイパス

動作

--noproxyフラグは、プロキシをバイパスして直接接続するホスト、ドメイン、またはIPアドレスのカンマ区切りリストを指定します。ワイルドカードをサポート：*.example.comはすべてのサブドメインに一致します。

使用する場面

localhost、内部サービス、または特定のドメインをプロキシから除外するために使用します。環境変数でプロキシがグローバルに設定されているが、一部のホスト（ローカルサービスなど）に直接アクセスが必要な場合に重要です。すべてのホストでプロキシをバイパスするには*を使用します。

$ curl -x http://proxy:8080 --noproxy "localhost,127.0.0.1,*.internal.com" https://localhost:3000/api

その他のプロキシオプション

curl --resolve: カスタムDNS解決

動作

--resolveフラグは、特定のhost:portペアにカスタムIPアドレスを提供し、DNS検索を完全にバイパスします。フォーマットはhost:port:addressです。複数の--resolveエントリを指定できます。

使用する場面

DNS伝播前のテスト、ロードバランサー背後の特定のバックエンドの検証、またはSSL証明書検証に実際のホスト名が必要なローカル開発に不可欠です。/etc/hostsの編集とは異なり、リクエスト単位でポート固有です。

$ curl --resolve api.example.com:443:127.0.0.1 https://api.example.com/health

curl --connect-to: 接続を別のホストにリダイレクト

動作

--connect-toフラグは、HTTPリクエスト（HostヘッダーとSNIを含む）には元のURLを維持しながら、TCP接続を別のhost:portペアにリダイレクトします。フォーマット：HOST1:PORT1:HOST2:PORT2。

使用する場面

DNSや/etc/hostsを変更せずに、ロードバランサー背後の特定のバックエンドサーバーをテストするために使用します。--resolveとは異なり、host:portをhost:port（IPではなく）にマッピングするため、ターゲットにもホスト名がある場合に便利です。

$ curl --connect-to api.example.com:443:backend1.internal:8443 https://api.example.com/health

その他のネットワークオプション

実践的なSSL & プロキシシナリオ

以下の例は、開発、CI/CD、本番環境での一般的なセキュリティおよびネットワークタスクを処理するために、複数のフラグを組み合わせています。

$ curl --resolve myapp.local:443:127.0.0.1 --cacert local-ca.pem https://myapp.local/api/status

$ curl --cert client.pem --key client-key.pem --cacert server-ca.pem https://mtls-api.example.com/data

$ curl -x http://proxy.corp.com:3128 -U user:pass --noproxy "*.internal.corp" https://external-api.com/data

$ curl --cacert /etc/ssl/certs/internal-ca.crt https://service.docker.internal:8443/health

$ curl --socks5 localhost:1080 https://internal-api.example.com/status

curl SSL & プロキシに関するよくある質問