html增加hsts头,开启HSTS(HTTP Strict Transport Security)

淩亂°似流年 2022-10-11 13:37 223阅读 0赞

开启HSTS(HTTP Strict Transport Security)

HSTS(HTTP Strict Transport Security) 的作用就是，当你使用了一次之后，浏览器就会记住这个选项，之后都是直接访问HTTPS。

原理是通过设置一个头部：Strict-Transport-Security: max-age=15552000; includeSubDomains。格式是 Strict-Transport-Security: max-age=; includeSubDomains，

其中 includeSubDomains 是可选的， 是在多少秒之后过期的意思。

如果一个网站同时提供HTTP和HTTPS两种服务，那么只要访问过HTTPS服务，在所设置的HSTS过期之前，浏览器都会直接访问HTTPS，这样

可以在一定程度上保证数据传输的安全。但是缺点也很明显，如果用户第一次访问的时候是访问HTTP服务，那么就可以在这一步进行中间人

攻击，把重定向服务中的 https:// 替换成 http://，这样就仍然可以监听所传输的数据。

解决方案是关闭HTTP服务，把所有的HTTP服务都重定向到HTTPS，例如Nginx中这样配置：

server \{

listen 80;

limit\_req zone=perip burst=10 nodelay;

access\_log /var/log/nginx/jiajunhuang.com.access.log;

error\_log /var/log/nginx/jiajunhuang.com.error.log;

server\_name jiajunhuang.com;

if ($scheme != "https") \{

return 301 https://$host$request\_uri;

\}

\}

而Nginx中可以通过增加头部来实现HSTS：

server \{

listen 443 ssl;

server\_name www.example.com;

add\_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

\}

如何关闭HSTS？

如果你的网站不再提供HTTPS，而你想关闭HSTS，那么必须要：

停止增加 Strict-Transport-Security 这个头部

从停止增加头部开始，等待 那么久之后，也就是所有浏览器里的配置都已经失效了之后，关闭HTTPS

参考资料：

关注公众号，获得及时更新

更多文章

加载评论

发表评论取消回复

表情：

评论列表（有 0 条评论，223人围观）

还没有评论，来说两句吧...

相关阅读

相关【已解决】“Content-Security-Policy”头缺失

1、作用简称CSP，意为内容安全策略，通过设置约束指定可信的内容来源，降低异源文件攻击，例如：js/css/image等 2、相关设置值 <table> <

野性酷女/ 2024年03月16日 19:02/ 0 赞/ 9 阅读

相关 ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY

配置nginx支持http2的时候，需要配置https协议，我在本地生成了证书，但是访问网站的时候就报下面这个错，经过查询一些资料得知，可能原因是ssl协议版本和加密方式不匹配

系统管理员/ 2022年12月24日 00:54/ 0 赞/ 156 阅读

相关 html增加hsts头,开启HSTS(HTTP Strict Transport Security)

开启HSTS(HTTP Strict Transport Security) HSTS(HTTP Strict Transport Security) 的作用就是，当你使用了

淩亂°似流年/ 2022年10月11日 13:37/ 0 赞/ 224 阅读

相关 html信息头

HTML的HTTP协议头信息中控制着页面在几个地方的缓存信息，包括浏览器端，中间缓存服务器端(如：squid等)，Web服务器端。本文讨论头信息中带缓存控制信息的HTML页面

左手的ㄟ右手/ 2022年06月02日 11:25/ 0 赞/ 231 阅读

相关 HttpServletRequest增加消息头

由于在请求中请求域的属性在请求转发，路由等过程中，请求域的值会丢失，，在项目项目中使用请求头来传递信息，但是HttpRequest并没有实现增加请求头的方法，所以找到他的子类来

本是古典何须时尚/ 2022年05月15日 14:04/ 0 赞/ 466 阅读

相关 HTTP vs HTTPS vs HSTS

在推动公司的全站 HTTPS + HSTS ，整理用到的知识，供以后查阅只用。 1. HTTP 背景知识 1.1 HTTP/0.9 单行协议，极其简单。请求：

╰半夏微凉°/ 2022年02月12日 12:07/ 0 赞/ 230 阅读

相关 html Head头标签

[2019独角兽企业重金招聘Python工程师标准>>> ][2019_Python_] ![hot3.png][] charset 编码 <meta charset="u

桃扇骨/ 2022年01月16日 02:07/ 0 赞/ 223 阅读

相关（三）Spring Security增加验证码验证

目录一：首先声明一个验证码异常二：创建一个验证码过滤器三：在WebSecurityConfig中添加过滤器四：controller输出验证

￡神魔★判官ぃ/ 2021年12月12日 00:15/ 0 赞/ 419 阅读

相关 ATS (App Transport Security)

1. 苹果规定：从2017年1月1日起，新提交的 App 不允许使用 NSAllowsArbitraryLoads 来绕过 ATS 的限制。 2. 为了能兼容 http

缺乏、安全感/ 2021年12月11日 10:11/ 0 赞/ 196 阅读

相关 WCF basicHttpBinding之Transport Security Mode, clientCredentialType="None"

原创地址：[http://www.cnblogs.com/jfzhu/p/4071342.html][http_www.cnblogs.com_jfzhu_p_4071342.

素颜马尾好姑娘i/ 2021年11月22日 10:48/ 0 赞/ 317 阅读