HTTP Strict Transport Security

Mémoriser HTTPS pour les prochains appels

HTTP Strict Transport Security, ou HSTS, est communiqué par l’en-tête de réponse Strict-Transport-Security. Après réception sur une connexion HTTPS sûre, le navigateur mémorise qu’il doit contacter cet hôte uniquement en HTTPS pendant la durée de la politique. Les futures adresses HTTP sont réécrites en conséquence. HSTS ne délivre pas de certificat et ne répare pas les erreurs TLS.

Vérifier le périmètre avant le réglage

Une réponse HTTPS fictive de portal.example contient Strict-Transport-Security: max-age=3600. Cette valeur d’exemple correspond à 1 heure ; ce n’est pas une cible générale de production. Le navigateur peut enregistrer la règle pour cet hôte. Retirer ensuite l’en-tête n’annule pas immédiatement une règle déjà mémorisée ; sa durée de validité continue.

L’ajout de includeSubDomains couvrirait aussi les hôtes descendants. Avant cet élargissement, l’équipe doit vérifier que tous les services concernés sont disponibles de façon fiable en HTTPS. Le domaine parent ou un hôte de même niveau n’est pas automatiquement couvert.

Si le navigateur n’a pas encore appris la règle et qu’aucune entrée preload adaptée n’existe, cette politique mémorisée ne protège pas encore le premier appel HTTP. Le preloading est un processus distinct.

Sources

• MDN — Strict-Transport-Security