HTTP Strict Transport Security

Recordar HTTPS para futuras llamadas

HTTP Strict Transport Security, o HSTS, se comunica mediante la cabecera de respuesta Strict-Transport-Security. Tras recibirla por una conexión HTTPS segura, el navegador recuerda acceder a ese host solo mediante HTTPS durante la vigencia de la política. Las futuras direcciones HTTP se reescriben. HSTS no emite certificados ni repara errores TLS.

Comprobar el alcance antes de configurarlo

Una respuesta HTTPS ficticia de portal.example contiene Strict-Transport-Security: max-age=3600. Este valor de ejemplo equivale a 1 hora y no es un objetivo general de producción. El navegador puede guardar la regla para ese host. Omitir después la cabecera no anula inmediatamente una regla ya almacenada; su vigencia continúa.

Añadir includeSubDomains también abarcaría los hosts subordinados. Antes de ampliar el alcance, el equipo debe comprobar que todos los servicios afectados estén disponibles de forma fiable por HTTPS. Un dominio superior o un host del mismo nivel no queda cubierto automáticamente.

Si el navegador aún no ha aprendido la regla y no existe una entrada preload adecuada, esta política almacenada todavía no protege la primera llamada HTTP. El preloading es un proceso separado.

Fuentes

• MDN — Strict-Transport-Security