HTTP Strict Transport Security

HTTPS onthouden voor toekomstige aanroepen

HTTP Strict Transport Security, of HSTS, wordt meegedeeld met de antwoordheader Strict-Transport-Security. Na ontvangst via een veilige HTTPS-verbinding onthoudt de browser dat hij deze host gedurende de beleidstermijn alleen via HTTPS mag benaderen. Toekomstige HTTP-adressen worden overeenkomstig herschreven. HSTS geeft geen certificaat uit en herstelt geen TLS-fouten.

Eerst het bereik controleren

Een fictief HTTPS-antwoord van portal.example bevat Strict-Transport-Security: max-age=3600. Deze voorbeeldwaarde staat voor 1 uur en is geen algemene productiedoelwaarde. De browser kan de regel voor deze host opslaan. De header later weglaten heft een eerder opgeslagen regel niet meteen op; de geldigheidsduur loopt door.

Toevoegen van includeSubDomains zou ook onderliggende hosts omvatten. Voor die uitbreiding moet het team controleren of alle betrokken diensten betrouwbaar via HTTPS bereikbaar zijn. Een bovenliggend domein of een host op hetzelfde niveau valt er niet automatisch onder.

Heeft de browser de regel nog niet geleerd en bestaat er geen passende preload-vermelding, dan beschermt dit opgeslagen beleid het eerste HTTP-verzoek nog niet. Preloading is een afzonderlijk proces.

Bronnen

• MDN — Strict-Transport-Security