HSTS: jak przeglądarki wymuszają HTTPS

HTTP Strict Transport Security pozwala stronie działającej przez HTTPS przekazać przeglądarkom, które obsługują ten mechanizm, że przez określony czas mają łączyć się z nią wyłącznie przez HTTPS. Dyrektywa includeSubDomains rozszerza tę politykę, a preload to osobny mechanizm ekosystemu przeglądarek, którego nie należy włączać pochopnie.

Co HSTS zmienia w przeglądarce

HSTS nakazuje przeglądarce łączyć się ze stroną wyłącznie przez HTTPS przez czas podany w max-age. Po otrzymaniu tej polityki przeglądarka zamienia kolejne przejścia przez HTTP na HTTPS, zanim w ogóle wyśle zwykłe, nieszyfrowane żądanie.

Jak sprawdzić HSTS

Sprawdź nagłówek odpowiedzi Strict-Transport-Security i jego wartość max-age. Zanim użyjesz includeSubDomains, upewnij się, że wszystkie potrzebne subdomeny działają przez HTTPS. Preload traktuj jako osobne, długoterminowe zobowiązanie, a nie zwykły przełącznik HSTS. W praktyce sprawdzisz to narzędziem 2IP „Sprawdź aktywne usługi na serwerze”. Zewnętrzną odpowiedź HTTP strony porównasz z wynikiem narzędzia 2IP „Informacje o stronie”.

Ostrożnie z includeSubDomains i preload

Mechanizm HSTS opisuje RFC 6797.