Strict Transport Security

Silktide tarkistaa, että salatut sivusi kehottavat selaimia käyttämään aina verkkosivustosi suojattua versiota. Tämä Strict Transport Securityksi kutsuttu ohje estää selaimia muodostamasta yhteyttä salaamattoman yhteyden kautta, vaikka kävijä kirjoittaisi tavallisen osoitteen tai seuraisi vanhaa linkkiä.

Ohje on , joka lähetetään jokaisen sivun mukana -yhteyden kautta:

Strict-Transport-Security: max-age=31536000

Miksi tämä on tärkeää

Jopa kokonaan HTTPS:n kautta tarjottu verkkosivusto hyväksyy yleensä ensin yhden salaamattoman pyynnön: kävijä kirjoittaa example.com, selain kokeilee osoitetta http://, ja palvelin uudelleenohjaa osoitteeseen https://. Tuo yksi salaamaton vaihe riittää samassa verkossa olevalle hyökkääjälle yhteyden kaappaamiseen ja kävijän pitämiseen sivuston väärennetyssä tai peukaloidussa versiossa – kyseessä on välimieshyökkäys.

Strict Transport Security (HSTS) poistaa tämän aukon. Kun selain on nähnyt otsakkeen, se muuttaa kaikki tulevat pyynnöt itse HTTPS:ksi max-age-arvon määrittämäksi ajaksi, joten haavoittuvaa ensimmäistä pyyntöä ei enää koskaan tehdä.

Korjaaminen

Varmista ensin, että koko verkkosivustosi toimii HTTPS:n kautta – kun HSTS on käytössä, selaimet kieltäytyvät kokonaan salaamattomasta versiosta.
Määritä verkkopalvelimesi, hosting-alustasi tai lähettämään Strict-Transport-Security-otsake kaikissa HTTPS-vastauksissa. Monilla alustoilla on HSTS-asetus, joka otetaan käyttöön yhdellä napsautuksella.
Aseta järkevä max-age-arvo sekunteina. Aloita pienestä arvosta (kuten 86400, yksi päivä), jos haluat kokeilujakson, ja nosta se sitten vuoteen (max-age=31536000), kun olet varma asiasta.
Voit halutessasi lisätä includeSubDomains-direktiivin kattamaan kaikki aliverkkotunnukset, mutta vain jos ne kaikki tukevat HTTPS:ää.

Miten Silktide testaa tämän

Tarkista jokaiselta HTTPS:n kautta tarjotulta sivulta Strict-Transport-Security-otsake, jolla on muu kuin tyhjä arvo.
Raportoi sivu, jos otsake puuttuu.
Salaamattomien yhteyksien kautta tarjotut sivut ohitetaan, koska selaimet jättävät tämän otsakkeen niissä huomiotta – näiden sivujen suojaus kuuluu SSL-salaus -tarkistukseen.

Vianmääritys

Asetin otsakkeen, mutta tarkistus epäonnistuu edelleen

Varmista, että otsake lähetetään juuri skannattavilla sivuilla eikä vain etusivulla. Voit tarkastella sivun vastausotsakkeita selaimesi kehittäjätyökaluissa Verkko-välilehdellä.

Voiko HSTS estää kävijöiden pääsyn sivustolle?

Jos otat HSTS:n käyttöön ja HTTPS-määrityksesi rikkoutuu myöhemmin (esimerkiksi varmenteen vanhentuessa), otsakkeen muistavat selaimet kieltäytyvät palaamasta salaamattomaan sivustoon, kunnes max-age-aika umpeutuu. Tämä on tarkoituksellista – pidä varmenteiden uusiminen automatisoituna.