Что такое HSTS и зачем он нужен?
WiseLab · Обновлено
HSTS сообщает браузеру, что к домену следует обращаться только по HTTPS. Браузер запоминает это правило на срок max-age. Так сайт снижает риск последующего перехода на незащищённый HTTP.
Условия безопасного включения
Заголовок Strict-Transport-Security принимается через HTTPS. Директива includeSubDomains распространяет требование на поддомены, поэтому их нужно подготовить заранее. Обычное правило ещё неизвестно браузеру до первого защищённого посещения; предварительный список HSTS preload решает отдельную задачу и требует аккуратного управления.
Как применить
- Убедитесь, что HTTPS стабильно работает и сертификаты продлеваются.
- Проверьте все поддомены перед includeSubDomains.
- Проверьте заголовок в ответе сервера и последующий переход по HTTP.
Длинный срок HSTS осложняет откат на HTTP. Начинайте с проверенной инфраструктуры, а не с копирования максимального max-age.
Открыть инструмент по темеИсточники
Подготовлено с помощью ИИ по указанным источникам. Примеры с условными данными используются для объяснения и не описывают результаты клиентов.