Lista HSTS preload

Nagłówek prosi o umieszczenie domeny na wbudowanej liście HTTPS-only przeglądarek. Lista wymaga max-age co najmniej roku i includeSubDomains.

• Pomoc

Nawet z HSTS pierwsza wizyta w witrynie zaczyna się przez HTTP, bo przeglądarka nie widziała jeszcze nagłówka. Tę lukę zamyka lista preload — wbudowany w Chrome, Firefox, Safari i Edge wykaz domen, które otwierają one wyłącznie przez HTTPS od pierwszego żądania. Aby się na nią dostać, domena dodaje token preload do nagłówka HSTS i zgłasza się na hstspreload.org.

Jak sprawdza to SiteScan

Wiersz pojawia się tylko wtedy, gdy nagłówek HSTS zawiera preload. Skaner sprawdza wtedy warunki listy widoczne w nagłówku: max-age co najmniej rok (31 536 000 sekund) oraz includeSubDomains. Gdy oba są spełnione, wiersz pokazuje „Jest”; gdy nie — żółte „Warunki niespełnione”: lista odrzuci domenę, choć nagłówek sugeruje coś innego. SiteScan nie odpytuje samej listy, więc zgłoszenie należy do ciebie.

Zanim włączysz preload

Preload jest opcjonalny i trudno go cofnąć: usunięcie z listy dociera do przeglądarek miesiącami. Każda subdomena, także wewnętrzna, musi działać przez HTTPS. Pełny nagłówek wygląda tak:

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

Adres HTTP musi też przekierowywać na HTTPS tego samego hosta.