Заголовок Strict-Transport-Security (HSTS)

Велит браузерам обращаться к сайту только по HTTPS в течение заданного срока, чтобы попытки понизить протокол не срабатывали. Сильным считается max-age от полугода.

• Помощь

HSTS (HTTP Strict Transport Security) говорит браузеру: ближайшие N секунд открывай этот сайт только по HTTPS. После первого визита браузер сам переписывает любую ссылку http:// на https:// ещё до того, как запрос покинет устройство. Так закрывается брешь, которую оставляет редирект, — первый незашифрованный запрос, перехватив который в публичном Wi-Fi, можно «снять» HTTPS. Заодно предупреждения о сертификате становятся жёсткой ошибкой, которую посетитель не может проигнорировать.

Как SiteScan это оценивает

Сканер читает значение max-age. Полгода (15 552 000 секунд) и больше — «Сильный»; меньше — «Слабый»: защита слишком быстро истекает между визитами. Нет заголовка — «Отсутствует». Учитывается только заголовок, пришедший по HTTPS: по HTTP браузеры его игнорируют.

Рекомендуемое значение

Strict-Transport-Security: max-age=31536000; includeSubDomains

Если не уверены, что все поддомены работают по HTTPS, начните с короткого max-age (например, 300), а затем поднимите до года. includeSubDomains добавляйте, только когда HTTPS есть на всех поддоменах, а preload — когда выполнены условия preload-списка. И проверьте, что настроен редирект с http на https.