HSTS: cómo obligan los navegadores a usar HTTPS

HTTP Strict Transport Security permite que un origen HTTPS indique a los navegadores compatibles que usen HTTPS durante un tiempo determinado. includeSubDomains amplía la política; preload es un mecanismo aparte, propio del ecosistema de los navegadores, y no conviene activarlo a la ligera.

Qué cambia HSTS en el navegador

HSTS indica al navegador que use únicamente HTTPS con un sitio durante el max-age anunciado. Una vez recibida la política, el navegador convierte a HTTPS las navegaciones HTTP posteriores antes de enviar una solicitud normal sin cifrar.

Cómo comprobar HSTS

Revise la cabecera de respuesta Strict-Transport-Security y su max-age. Antes de usar includeSubDomains, asegúrese de que los subdominios necesarios funcionan por HTTPS. Considere preload un compromiso independiente y más duradero, no un simple interruptor más de HSTS. Para comprobarlo en la práctica, utilice la comprobación de servicios de servidor de 2IP. También puede contrastar la respuesta HTTP externa del sitio con la herramienta de información de sitios web de 2IP.

Cuidado con includeSubDomains y preload

Referencia técnica: RFC 6797.