上一篇
HTTP严格传输安全协议故障怎么解决？hsts配置错误怎么办
HTTP严格传输安全（HSTS, HTTP Strict Transport Security）是一种Web安全策略机制，它允许网站告知浏览器只能通过HTTPS连接访问该网站，当HSTS配置发生故障时，可能会导致用户无法访问网站、浏览器报错或安全策略失效，以下是针对HSTS故障的详细排查与解决方案。
常见故障现象
在开始修复之前,首先需要明确HSTS故障的具体表现，通常包括以下几种情况：
| 故障现象 | 可能原因 | 影响范围 |
|---|---|---|
| ERR_HSTS_INVALID | 浏览器检测到HSTS头格式错误或域名不匹配 | 特定浏览器用户 |
| 无法访问网站 | HSTS预加载列表中包含该域名，但服务器未正确配置HTTPS | 所有用户 |
| 警告 | HSTS生效，但页面加载了HTTP资源 | 页面功能异常 |
| HSTS头未生效 | 服务器未返回Strict-Transport-Security头，或max-age为0 | 安全性降低 |
| 子域名未覆盖 | 未设置includeSubDomains，导致子域名仍可使用HTTP | 部分子域名风险 |
故障排查步骤
检查服务器响应头
使用浏览器开发者工具（F12）或命令行工具（如curl）检查服务器是否正确返回了HSTS头。
curl -I https://yourdomain.com
期望返回的头信息示例：
常见问题：
- 缺少Strict-Transport-Security头。
- max-age值过小（建议至少为31536000秒，即1年）。
- 未包含includeSubDomains（如果需要保护子域名）。
验证HSTS预加载列表状态
如果网站已提交到HSTS预加载列表（HSTS Preload List），但服务器配置有误，浏览器会强制要求HTTPS，导致HTTP访问失败。
- 检查工具：访问 hstspreload.org 输入域名。
- 常见问题：
- 域名不在预加载列表中,但浏览器缓存了旧的HSTS策略。
- 预加载列表中域名配置与当前服务器配置不一致。
检查浏览器缓存
HSTS策略会被浏览器缓存,如果之前配置错误，即使修复了服务器配置，浏览器仍可能拒绝连接。
- 解决方法：
- 清除浏览器缓存。
- 使用无痕模式测试。
- 在Chrome中访问 chrome://net-internals/#hsts，删除域名的HSTS策略。
解决方案
正确配置HSTS头
根据使用的Web服务器软件,添加或修正HSTS头配置。
Nginx配置示例：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
Apache配置示例：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
IIS配置示例：
在web.config中添加：
<system.webServer> <httpProtocol> <customHeaders> <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload" /> </customHeaders> </httpProtocol> </system.webServer>
处理HSTS预加载问题
如果网站已提交预加载列表,但当前配置有误，需先移除预加载状态。
- 步骤：
- 从服务器移除HSTS头或设置max-age=0。
- 等待浏览器缓存过期或手动清除。
- 修复服务器配置。
- 重新提交到HSTS预加载列表（如需）。
处理混合内容问题
确保所有资源（图片、脚本、样式表等）均通过HTTPS加载。
- 解决方法：
- 将资源URL中的http://改为https://。
- 使用相对路径（如//example.com/resource.js）让浏览器自动选择协议。
子域名覆盖
如果希望所有子域名都受HSTS保护,确保配置中包含includeSubDomains。
- 注意：如果某个子域名无法提供HTTPS服务，不要使用includeSubDomains，否则该子域名将无法访问。
预防措施
- 定期审计：使用SSL Labs等工具定期检测网站安全配置。
- 监控日志：监控HTTP到HTTPS的重定向日志，确保所有流量均被正确重定向。
- 逐步实施：先设置较小的max-age值（如300秒），测试无误后再逐步增加。
相关问题与解答
Q1: 如果我在HSTS预加载列表中，但服务器突然宕机或配置错误，用户会看到什么错误？
A: 用户将无法通过HTTP访问网站，甚至可能无法通过HTTPS访问（如果HTTPS配置也错误），浏览器会显示类似“此网站无法提供安全连接”或“ERR_CONNECTION_REFUSED”的错误，这是因为HSTS预加载列表是硬编码在浏览器中的，浏览器会强制要求HTTPS，如果HTTPS服务不可用，连接将直接失败，解决方法是暂时从预加载列表中移除域名，或修复服务器配置。
Q2: 如何测试HSTS配置是否生效，而不影响生产环境用户？
A: 可以使用以下方法测试：
- 命令行测试：使用curl -I https://yourdomain.com检查响应头中是否包含Strict-Transport-Security。
- 浏览器开发者工具：打开网络面板，查看请求头中的Strict-Transport-Security。
- 在线工具：使用SSL Labs的SSL Test或HSTS Preload Check工具进行非载入式测试。
- 临时测试：在本地hosts文件中将域名指向测试服务器，清除浏览器HSTS缓存后访问，验证配置是否正确。
