HTTP Strict Transport Security
HSTS får browseren til at huske HTTPS ved fremtidige besøg på en vært. Varighed og dækning af subdomæner kræver et bevidst driftsvalg.
Husk HTTPS til fremtidige kald
HTTP Strict Transport Security, forkortet HSTS, meddeles med svarheaderen Strict-Transport-Security. Efter modtagelse over en sikker HTTPS-forbindelse husker browseren kun at kontakte denne vært via HTTPS i politikkens gyldighedstid. Fremtidige HTTP-adresser omskrives tilsvarende. HSTS udsteder ikke certifikater og reparerer ikke TLS-fejl.
Kontrollér omfanget før indstilling
Et fiktivt HTTPS-svar fra portal.example indeholder Strict-Transport-Security: max-age=3600. Eksempelværdien svarer til 1 time og er ikke et generelt produktionsmål. Browseren kan gemme reglen for denne vært. At udelade headeren senere ophæver ikke straks en allerede gemt regel; gyldighedstiden fortsætter.
Tilføjelsen includeSubDomains ville også omfatte underliggende værter. Før udvidelsen skal teamet kontrollere, at alle berørte tjenester er pålideligt tilgængelige via HTTPS. Et overordnet domæne eller en vært på samme niveau bliver ikke automatisk omfattet.
Har browseren endnu ikke lært reglen, og findes der ingen passende preload-post, beskytter denne gemte politik endnu ikke det første HTTP-kald. Preloading er en særskilt proces.
Kilder
Relaterede begreber
- HttpOnly-cookieHttpOnly hindrer scripts i direkte at tilgå cookien. Passende anmodninger kan stadig sende den; session og rettigheder skal fortsat kontrolleres.
- SameSite-cookieSameSite påvirker afsendelse af cookies mellem sites. Valget skal passe til login og navigation; CSRF-beskyttelse er stadig nødvendig.
- Content Security Policy (CSP)En CSP kan begrænse tilladte scriptkilder i browseren. En politik, der kun rapporterer, registrerer overtrædelser, men håndhæver ikke reglerne.
- DataminimeringDataminimering begrænser personoplysninger til det, der er passende, relevant og nødvendigt for et fastlagt formål.
- Politik for dataopbevaringEn politik for dataopbevaring fastlægger formål, start, varighed og afslutning. Sletteopgaver og kopier skal indgå i den tekniske løsning.
- Envelope-krypteringEnvelope-kryptering adskiller datanøglen fra nøglen, der beskytter den. Den krypterede fil og indpakkede datanøgle skal håndteres sammen.
Dit projekt med ASES
Beskriv dit projekt for os. Vi vender tilbage med en første vurdering.