Nagłówek Strict-Transport-Security (HSTS)

Każe przeglądarkom sięgać po witrynę wyłącznie przez HTTPS przez zadany czas, więc próba zejścia na HTTP nie ma szansy. Za mocne uznaje się max-age od pół roku.

• Pomoc

HSTS (HTTP Strict Transport Security) mówi przeglądarce: przez najbliższe N sekund otwieraj tę witrynę wyłącznie przez HTTPS. Po pierwszej wizycie przeglądarka sama zamienia każdy link http:// na https://, zanim żądanie opuści urządzenie. To zamyka lukę, którą zostawia przekierowanie — pierwsze nieszyfrowane żądanie, po którego przechwyceniu w publicznym Wi-Fi da się „zdjąć” HTTPS. Ostrzeżenia o certyfikacie stają się przy tym twardym błędem, którego nie można zignorować.

Jak ocenia to SiteScan

Skaner odczytuje wartość max-age. Pół roku (15 552 000 sekund) lub więcej to „Mocny”; krótsza wartość to „Słaby”, bo ochrona wygasa zbyt szybko między wizytami. Brak nagłówka to „Brak”. Liczy się tylko nagłówek wysłany przez HTTPS — przez HTTP przeglądarki go ignorują.

Zalecana wartość

Strict-Transport-Security: max-age=31536000; includeSubDomains

Jeśli nie masz pewności, że wszystkie subdomeny działają przez HTTPS, zacznij od krótkiego max-age (np. 300), a potem podnieś go do roku. includeSubDomains dodaj dopiero, gdy HTTPS działa na każdej subdomenie, a preload — gdy spełniasz warunki listy preload. Upewnij się też, że działa przekierowanie z http na https.