Strict Transport Security

Mae Silktide yn gwirio bod eich tudalennau wedi'u hamgryptio yn dweud wrth borwyr i ddefnyddio fersiwn ddiogel eich gwefan bob amser. Mae'r cyfarwyddyd hwn, o'r enw Strict Transport Security, yn atal porwyr rhag cysylltu dros gysylltiad heb ei amgryptio byth, hyd yn oed pan fydd ymwelydd yn teipio cyfeiriad plaen neu'n dilyn hen ddolen.

Pennyn yw'r cyfarwyddyd a anfonir gyda phob tudalen dros :

Strict-Transport-Security: max-age=31536000

Pam mae hyn yn bwysig

Mae hyd yn oed gwefan a weinyddir yn gyfan gwbl dros HTTPS fel arfer yn derbyn un cais heb ei amgryptio yn gyntaf: mae'r ymwelydd yn teipio example.com, mae'r porwr yn rhoi cynnig ar http://, ac mae'r gweinydd yn ailgyfeirio i https://. Mae'r un cam heb ei amgryptio hwnnw'n ddigon i ymosodwr ar yr un rhwydwaith ryng-gipio'r cysylltiad a chadw'r ymwelydd ar fersiwn ffug neu ymyrredig o'r wefan - ymosodiad dyn-yn-y-canol.

Mae Strict Transport Security (HSTS) yn cau'r bwlch. Unwaith y bydd porwr wedi gweld y pennyn, mae'n uwchraddio pob cais yn y dyfodol i HTTPS ar ei ben ei hun, am gyhyd ag y mae max-age yn ei nodi, felly nid yw'r cais cyntaf bregus yn digwydd eto.

Sut i'w drwsio

Sicrhewch fod eich gwefan gyfan yn gweithio dros HTTPS yn gyntaf - unwaith y bydd HSTS yn weithredol, bydd porwyr yn gwrthod y fersiwn heb ei hamgryptio yn llwyr.
Ffurfweddwch eich gweinydd gwe, eich platfform cynnal, neu i anfon y pennyn Strict-Transport-Security ar bob ymateb HTTPS. Mae gan lawer o lwyfannau osodiad HSTS un clic.
Gosodwch max-age ystyrlon mewn eiliadau. Dechreuwch yn fach (fel 86400, un diwrnod) os ydych am gael cyfnod prawf, yna codwch ef i flwyddyn (max-age=31536000) unwaith y byddwch yn hyderus.
Yn ddewisol, ychwanegwch includeSubDomains i gwmpasu pob is-barth, ond dim ond os yw pob un ohonynt yn cynnal HTTPS.

Sut mae Silktide yn profi hyn

Gwiriwch bob tudalen a weinyddir dros HTTPS am bennyn Strict-Transport-Security â gwerth nad yw'n wag.
Rhowch wybod am y dudalen os yw'r pennyn ar goll.
Caiff tudalennau a weinyddir dros gysylltiadau heb eu hamgryptio eu hepgor, oherwydd mae porwyr yn anwybyddu'r pennyn hwn yno - mae diogelu'r tudalennau hynny yn cael ei gwmpasu gan y gwiriad amgryptio SSL.

Datrys problemau

Rwyf wedi gosod y pennyn ond mae'r gwiriad yn dal i fethu

Cadarnhewch fod y pennyn yn cael ei anfon gan yr union dudalennau sy'n cael eu sganio, nid y dudalen hafan yn unig. Gallwch weld penynnau ymateb tudalen yn offer datblygwr eich porwr, o dan y tab Rhwydwaith.

A all HSTS atal ymwelwyr rhag cael mynediad?

Os byddwch yn galluogi HSTS ac yn ddiweddarach yn torri eich gosodiad HTTPS (er enghraifft, tystysgrif sydd wedi dod i ben), bydd porwyr sy'n cofio'r pennyn yn gwrthod dychwelyd i'r wefan heb ei hamgryptio nes bydd max-age yn dod i ben. Mae hyn yn fwriadol - cadwch eich gwaith adnewyddu tystysgrifau yn awtomataidd.