HSTS: come i browser impongono HTTPS

HTTP Strict Transport Security consente a un'origine HTTPS di chiedere ai browser compatibili di usare HTTPS per un certo periodo. includeSubDomains estende la regola, mentre preload è un meccanismo separato dell'ecosistema dei browser che non va attivato alla leggera.

Cosa cambia HSTS nel browser

HSTS indica al browser di usare solo HTTPS per un sito per tutta la durata del max-age dichiarato. Una volta ricevuta la regola HSTS, il browser converte in HTTPS le successive navigazioni HTTP prima ancora di inviare una normale richiesta non cifrata.

Come verificare HSTS

Controlla l'intestazione di risposta Strict-Transport-Security e il relativo max-age. Prima di usare includeSubDomains, assicurati che tutti i sottodomini necessari funzionino in HTTPS. Considera preload un impegno a parte e di lunga durata, non una normale opzione di HSTS. Per una prova pratica, usa lo strumento Verifica servizi attivi su un server di 2IP. Puoi confrontare la risposta HTTP esterna del sito con lo strumento Informazioni sul sito web di 2IP.

Attenzione a includeSubDomains e preload

Riferimenti tecnici: RFC 6797.