HSTS, tarayıcıya alan adınız için belirli bir süre boyunca düz http'yi reddetmesini söyler. Gerçek bir saldırıyı kapatır — yönlendirmeden önceki ilk isteği — ve tarayıcı onu hatırlar; tam da bu yüzden dikkatle devreye alınmalıdır.

Başlık

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Onu tehlikeli kılan şey

Hatırlanır, ve geri çağrılamaz. max-age=31536000 gönderin, onu gören her tarayıcı bir yıl boyunca http'yi reddedecektir. Ardından sertifikanız sona ererse ya da bir alt alan adının hiç sertifikası yoksa, ziyaretçiler tıklayarak geçemeyecekleri bir uyarı görür — ve başlığı kaldırmak hiçbir işe yaramaz, çünkü talimat çoktan onların tarayıcısındadır.

Onu aşama aşama devreye alın

# week 1 - five minutes
add_header Strict-Transport-Security "max-age=300" always;

# week 2 - a day
add_header Strict-Transport-Security "max-age=86400" always;

# week 3 - a week, then a year once nothing has broken
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

İnsanları yakalayan kısım includeSubDomains'tir

Unuttuklarınız da dahil olmak üzere her alt alan adı için geçerlidir: eski bir hazırlık sitesi, iç kullanıma açık bir araç, sertifikasız eski bir sunucu. Hepsi bir anda http üzerinden erişilemez hale gelir. Onu eklemeden önce her alt alan adının geçerli bir sertifikası olduğunu doğrulayın.

for h in www shop staging api mail; do
  printf '%-8s ' "$h"
  curl -sS -o /dev/null -w '%{http_code}\
' "https://$h.example.com/" || echo FAIL
done

Ön yükleme, pratikte kalıcıdır

Ön yükleme listesi tarayıcıların içine derlenir, dolayısıyla kural daha ilk ziyaretten önce geçerlidir. Listeden çıkmanın herkese ulaşması aylar sürer. Site tam max-age ile bir yıl boyunca kazasız çalışmadan preload belirtecini eklemeyin.

Zaten dışarıda kaldıysanız

Sertifikayı düzeltin — gerçek yanıt yalnızca budur. Kendi makineniz için Chrome, chrome://net-internals/#hsts adresinden tek bir alan adını temizleyebilir; bu size deneme imkânı verir ama ziyaretçileriniz için hiçbir şey yapmaz.

HSTS sahip olmaya değer. Onu güvenli kılan şey ise kendiliğinden yenilemedir — bkz. Sessizce başarısız olan yenileme.