HTTP Strict Transport Security

Sonraki çağrılar için HTTPS’i hatırlamak

HTTP Strict Transport Security, kısaca HSTS, Strict-Transport-Security yanıt başlığıyla bildirilir. Tarayıcı bu başlığı güvenli HTTPS bağlantısından aldıktan sonra, geçerlilik süresince bu sunucuya yalnız HTTPS ile erişeceğini hatırlar. Sonraki HTTP adresleri buna göre değiştirilir. HSTS sertifika oluşturmaz veya TLS hatalarını düzeltmez.

Ayarlamadan önce kapsamı incelemek

Kurgusal portal.example sunucusunun HTTPS yanıtı, Strict-Transport-Security: max-age=3600 içerir. Örnek değer 1 saate eşittir; üretim ortamı için genel hedef değer değildir. Tarayıcı bu sunucunun kuralını saklayabilir. Başlığı sonradan kaldırmak, önceden saklanan kuralı hemen iptal etmez; geçerlilik süresi devam eder.

includeSubDomains eklentisi, alt düzey sunucu adlarını da kapsar. Bu genişletmeden önce ekip, etkilenen bütün hizmetlerin HTTPS üzerinden güvenilir biçimde erişilebilir olduğunu kontrol etmelidir. Üst alan adı veya aynı düzeydeki başka sunucu adı kendiliğinden kapsanmaz.

Tarayıcı kuralı henüz öğrenmemişse ve uygun preload kaydı yoksa bu saklanan politika ilk HTTP çağrısını henüz korumaz. Preloading ayrı bir süreçtir.

Kaynaklar

• MDN — Strict-Transport-Security