Strict Transport Security

Silktide sprawdza, czy Twoje zaszyfrowane strony informują przeglądarki, aby zawsze używały bezpiecznej wersji Twojej witryny. Ta instrukcja, nazywana Strict Transport Security, zapobiega łączeniu się przeglądarek przez nieszyfrowane połączenie, nawet gdy odwiedzający wpisze zwykły adres lub skorzysta ze starego linku.

Instrukcja jest wysyłanym wraz z każdą stroną przez :

Strict-Transport-Security: max-age=31536000

Dlaczego to ważne

Nawet witryna obsługiwana w całości przez HTTPS zwykle najpierw akceptuje jedno nieszyfrowane żądanie: odwiedzający wpisuje example.com, przeglądarka próbuje użyć http://, a serwer przekierowuje na https://. Ten pojedynczy nieszyfrowany etap wystarczy, aby atakujący w tej samej sieci przechwycił połączenie i zatrzymał odwiedzającego na fałszywej lub zmodyfikowanej wersji witryny — jest to atak typu man-in-the-middle.

Strict Transport Security (HSTS) eliminuje tę lukę. Gdy przeglądarka zobaczy nagłówek, samodzielnie zmienia każde przyszłe żądanie na HTTPS przez okres określony przez max-age, więc podatne na atak pierwsze żądanie już się nie zdarza.

Jak to naprawić

Najpierw upewnij się, że cała Twoja witryna działa przez HTTPS — po aktywowaniu HSTS przeglądarki całkowicie odrzucą wersję nieszyfrowaną.
Skonfiguruj serwer WWW, platformę hostingową lub , aby wysyłały nagłówek Strict-Transport-Security we wszystkich odpowiedziach HTTPS. Wiele platform oferuje ustawienie HSTS aktywowane jednym kliknięciem.
Ustaw odpowiednią wartość max-age w sekundach. Jeśli chcesz okres próbny, zacznij od małej wartości (na przykład 86400, jeden dzień), a następnie zwiększ ją do roku (max-age=31536000), gdy nabierzesz pewności.
Opcjonalnie dodaj includeSubDomains, aby objąć wszystkie subdomeny, ale tylko wtedy, gdy wszystkie obsługują HTTPS.

Jak Silktide to testuje

Sprawdź każdą stronę obsługiwaną przez HTTPS pod kątem nagłówka Strict-Transport-Security z niepustą wartością.
Zgłoś stronę, jeśli brakuje nagłówka.
Strony obsługiwane przez nieszyfrowane połączenia są pomijane, ponieważ przeglądarki ignorują tam ten nagłówek — zabezpieczenie tych stron obejmuje kontrola Szyfrowanie SSL.

Rozwiązywanie problemów

Ustawiłem nagłówek, ale kontrola nadal kończy się niepowodzeniem

Potwierdź, że nagłówek jest wysyłany przez dokładnie te strony, które są skanowane, a nie tylko przez stronę główną. Nagłówki odpowiedzi strony możesz zobaczyć w narzędziach deweloperskich przeglądarki, na karcie Sieć.

Czy HSTS może zablokować dostęp odwiedzającym?

Jeśli włączysz HSTS, a później konfiguracja HTTPS przestanie działać (na przykład z powodu wygasłego certyfikatu), przeglądarki pamiętające nagłówek odmówią powrotu do nieszyfrowanej witryny, dopóki nie wygaśnie max-age. Tak to zaprojektowano — dbaj o automatyczne odnawianie certyfikatów.