HTTP Strict Transport Security
HSTS får nettleseren til å huske HTTPS for fremtidige besøk til en vert. Varighet og dekning av underdomener krever et bevisst driftsvalg.
Husk HTTPS for fremtidige kall
HTTP Strict Transport Security, forkortet HSTS, formidles med svarheaderen Strict-Transport-Security. Etter mottak over en sikker HTTPS-forbindelse husker nettleseren å kontakte denne verten bare via HTTPS i policyens gyldighetstid. Fremtidige HTTP-adresser skrives om. HSTS utsteder ikke sertifikater og reparerer ikke TLS-feil.
Kontroller omfanget før innstilling
Et fiktivt HTTPS-svar fra portal.example inneholder Strict-Transport-Security: max-age=3600. Eksempelverdien tilsvarer 1 time og er ikke et generelt produksjonsmål. Nettleseren kan lagre regelen for denne verten. Å utelate headeren senere opphever ikke straks en allerede lagret regel; gyldighetstiden fortsetter.
Tillegget includeSubDomains ville også omfatte underordnede verter. Før utvidelsen må teamet kontrollere at alle berørte tjenester er pålitelig tilgjengelige via HTTPS. Et overordnet domene eller en vert på samme nivå omfattes ikke automatisk.
Har nettleseren ennå ikke lært regelen, og finnes det ingen passende preload-oppføring, beskytter den lagrede policyen ennå ikke det første HTTP-kallet. Preloading er en egen prosess.
Kilder
Beslektede begreper
- HttpOnly-informasjonskapselHttpOnly hindrer skript i direkte tilgang til informasjonskapselen. Passende forespørsler kan fortsatt sende den; sesjon og rettigheter må kontrolleres.
- SameSite-informasjonskapselSameSite påvirker sending av informasjonskapsler mellom nettsteder. Valget må passe innlogging og navigasjon; CSRF-beskyttelse trengs fortsatt.
- Content Security Policy (CSP)En CSP kan begrense tillatte skriptkilder i nettleseren. En policy som bare rapporterer, registrerer brudd, men håndhever ikke reglene.
- DataminimeringDataminimering begrenser personopplysninger til det som er passende, relevant og nødvendig for et bestemt formål.
- Retningslinje for dataoppbevaringEn retningslinje for dataoppbevaring fastsetter formål, start, varighet og slutt. Slettejobber og kopier må håndteres i den tekniske løsningen.
- KonvoluttkrypteringKonvoluttkryptering skiller datanøkkelen fra nøkkelen som beskytter den. Den krypterte filen og innpakkede datanøkkelen må håndteres sammen.
Ditt prosjekt med ASES
Beskriv prosjektet ditt for oss. Vi tar kontakt med en første vurdering.