Довідник термінів / HSTS (Strict-Transport-Security)

HSTS (Strict-Transport-Security)

HSTS (Strict-Transport-Security) - це HTTP-заголовок, який наказує браузеру спілкуватися з сайтом тільки через HTTPS. Після першого візиту браузер сам підмінює http:// на https:// і не дає зайти по незахищеному з'єднанню, навіть якщо користувач натисне на http-посилання.

Сервер віддає заголовок Strict-Transport-Security з параметром max-age - скільки секунд браузер має пам'ятати правило. Поки строк не вийшов, усі запити до домену йдуть тільки по HTTPS, а спроба відкрити http-версію обертається внутрішнім редиректом ще до виходу в мережу.

Це закриває атаки типу downgrade і перехоплення на першому кроці, коли зловмисник у тій самій мережі підсуває користувачу http-версію сайту. Параметр includeSubDomains поширює правило на всі піддомени, а preload дозволяє додати домен у вбудований у браузери список, щоб захист діяв ще до першого візиту.

Включати HSTS варто тільки коли весь сайт і піддомени стабільно працюють по HTTPS. Інакше частина сторінок стане недоступною, і швидко відкотити це не вийде: браузер пам'ятає правило до кінця max-age.

Приклад

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Часті помилки

• Ставлять великий max-age відразу на бойовому сайті, ще не переконавшись, що всі піддомени працюють по HTTPS, і ловлять недоступні сторінки.
• Думають, що HSTS сам вмикає HTTPS. Заголовок нічого не шифрує, він лише забороняє http; сертифікат і HTTPS треба налаштувати окремо.
• Додають директиву preload у заголовок, але не подають домен у список на hstspreload.org - без реєстрації preload не працює.
• Забувають про includeSubDomains і дивуються, чому піддомен без HTTPS усе ще відкривається по http.

Повʼязані терміни

• Content-Security-Policy (CSP) Content-Security-Policy (CSP)
• X-Frame-Options X-Frame-Options
• X-Content-Type-Options X-Content-Type-Options
• Referrer-Policy Referrer-Policy
• Permissions-Policy Permissions-Policy