HSTS: cara pelayar mewajibkan HTTPS

HTTP Strict Transport Security membolehkan origin HTTPS memberitahu pelayar yang menyokongnya supaya menggunakan HTTPS untuk suatu tempoh. includeSubDomains meluaskan dasar ini; preload pula ialah mekanisme berasingan dalam ekosistem pelayar dan tidak patut diaktifkan sambil lewa.

Apa yang diubah HSTS dalam pelayar

HSTS memberitahu pelayar supaya hanya menggunakan HTTPS untuk sesuatu laman sepanjang max-age yang diumumkan. Sebaik sahaja dasar itu diterima, pelayar menaik taraf navigasi HTTP seterusnya kepada HTTPS sebelum menghantar permintaan biasa yang tidak disulitkan.

Cara menyemak HSTS

Periksa pengepala respons Strict-Transport-Security beserta nilai max-age. Sebelum menggunakan includeSubDomains, pastikan subdomain yang diperlukan berfungsi melalui HTTPS. Anggap preload sebagai komitmen berasingan yang lebih berpanjangan, bukan suis HSTS biasa. Untuk semakan praktikal, gunakan semakan perkhidmatan aktif pada pelayan 2IP. Anda boleh menyemak silang respons HTTP luaran laman itu dengan alat maklumat laman web 2IP.

Berhati-hati dengan includeSubDomains dan preload

Rujukan teknikal: RFC 6797.