HSTS: como os navegadores forçam o HTTPS

O HTTP Strict Transport Security permite que uma origem HTTPS instrua os navegadores compatíveis a usar HTTPS por um período de tempo. O includeSubDomains amplia a política; o preload é um mecanismo à parte do ecossistema dos navegadores e não deve ser ativado sem pensar.

O que o HSTS muda no navegador

O HSTS instrui o navegador a acessar um site somente por HTTPS durante o max-age anunciado. Depois de receber a política, o navegador converte as navegações HTTP seguintes em HTTPS antes de enviar uma requisição comum sem criptografia.

Como verificar o HSTS

Examine o cabeçalho de resposta Strict-Transport-Security e o max-age dele. Antes de usar o includeSubDomains, confirme que os subdomínios necessários funcionam por HTTPS. Trate o preload como um compromisso separado e de prazo mais longo, e não como uma simples opção do HSTS. Para uma verificação prática, use a verificação de serviços ativos da 2IP. A resposta HTTP externa do site pode ser conferida na ferramenta Informações do site, da 2IP.

Cuidado com o includeSubDomains e o preload

Referência técnica: RFC 6797.