HSTS: tarayıcılar HTTPS'i nasıl zorunlu kılar?

HTTP Strict Transport Security (HSTS) sayesinde bir HTTPS sitesi, bu mekanizmayı destekleyen tarayıcılara belirli bir süre boyunca yalnızca HTTPS kullanmalarını bildirebilir. includeSubDomains politikanın kapsamını genişletir; preload ise tarayıcı ekosistemine ait ayrı bir mekanizmadır ve gelişigüzel etkinleştirilmemelidir.

HSTS tarayıcıda neyi değiştirir?

HSTS, tarayıcıya bir siteye bildirilen max-age süresi boyunca yalnızca HTTPS ile bağlanmasını söyler. Politika bir kez alındıktan sonra tarayıcı, sonraki HTTP gezinmelerini sıradan şifresiz bir istek göndermeden önce HTTPS'e yükseltir.

HSTS nasıl kontrol edilir?

Strict-Transport-Security yanıt başlığına ve max-age değerine bakın. includeSubDomains kullanmadan önce gerekli tüm alt alan adlarının HTTPS üzerinden çalıştığından emin olun. Preload'u sıradan bir HSTS ayarı olarak değil, ayrı ve daha uzun süreli bir taahhüt olarak görün. Sunucuyu 2IP sunucu hizmetleri kontrolüyle test edebilir, sitenin dışarıdan görünen HTTP yanıtını da 2IP web sitesi bilgileri aracıyla karşılaştırabilirsiniz.

includeSubDomains ve preload ile dikkatli olun

Teknik kaynak: RFC 6797.