HSTS : comment le navigateur impose HTTPS

HSTS permet à un site HTTPS d’indiquer au navigateur d’utiliser uniquement HTTPS pour ce nom pendant max-age. includeSubDomains étend la politique aux sous-domaines. Le preload appartient à un mécanisme distinct de l’écosystème des navigateurs et demande une planification prudente.

Ce que HSTS change dans le navigateur

HSTS indique au navigateur de n’utiliser que HTTPS pour un site pendant la durée max-age annoncée. Une fois la politique reçue, le navigateur convertit les navigations HTTP suivantes vers HTTPS avant d’envoyer une requête ordinaire non chiffrée.

Comment vérifier HSTS

Vérifiez l’en-tête Strict-Transport-Security et son max-age. Avant includeSubDomains, assurez-vous que les sous-domaines concernés fonctionnent bien en HTTPS. Le preload est un engagement distinct et ne doit pas être activé machinalement. Pour une vérification pratique, utilisez vérification de serveur 2ip. Vous pouvez recouper la réponse HTTP externe du site avec vérification du site 2ip.

Prudence avec includeSubDomains et preload

Références techniques: RFC 6797.