Antetul HSTS (Strict-Transport-Security) – Forțarea conexiunilor HTTPS în browser în Apache HTTP Server

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

Ce face Antetul HSTS (Strict-Transport-Security) - Forțarea conexiunilor HTTPS în browser

Mecanismul HSTS (HTTP Strict Transport Security, RFC 6797) informează browserul că site-ul nu trebuie accesat niciodată prin HTTP necriptat.

Odată ce browserul primește acest antet, orice tentativă viitoare a utilizatorului de a accesa `http://dexblog.ro` va fi convertită intern în `https://` direct pe mașina clientului, înainte de trimiterea vreunui pachet în rețea.

Necesită modulul `headers` activat (`sudo a2enmod headers`).

Exemple

Exemplul 1: Adăugarea antetului HSTS în gazda virtuală de pe portul 443

Configurează HSTS pe o durată de 2 ani inclusiv pentru subdomenii.

<VirtualHost *:443>
    # ... directive SSL ...
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
</VirtualHost>

Ieșire în terminal

Antetul HSTS este trimis în fiecare răspuns HTTPS.

Greșeli frecvente

• Setarea unui max-age mare cu ‘includeSubDomains’ înainte de a te asigura că toate subdomeniile companiei au certificate SSL funcționale (subdomeniile fără SSL vor deveni inaccesibile).

Comenzi înrudite

• Forțare HTTPS prin rescriere - Redirecționarea automată a traficului HTTP: Redirecționează permanent (301) toți vizitatorii de la protocolul necriptat HTTP către conexiunea securizată HTTPS.
• Directiva SSLEngine - Activarea criptării SSL/TLS în VirtualHost: Pornește motorul de criptare TLS pentru conexiunile primite pe portul 443.