上一篇
HTTP严格传输安全协议怎么用？如何配置HSTS提升网站安全
HTTP严格传输安全协议（HSTS, HTTP Strict Transport Security）是一种Web安全策略机制，它允许Web服务器告知浏览器，该网站只能通过HTTPS连接进行访问，从而防止中间人攻破（MITM）和协议降级攻破，启用HSTS是提升网站安全性的重要步骤之一。
核心原理与作用
HSTS通过HTTP响应头 Strict-Transport-Security 来工作，当浏览器接收到这个头信息后，会在指定的时间内（由 max-age 参数决定），强制将所有对该域名的HTTP请求转换为HTTPS请求。
其主要作用包括：
- 防止SSL剥离攻破：攻破者试图将HTTPS连接降级为HTTP，HSTS确保浏览器不会接受这种降级。
- 消除首次访问风险：传统HTTPS在用户第一次访问时仍可能通过HTTP连接，存在被截持的风险，HSTS通过预加载列表或之前的缓存，确保后续访问直接走HTTPS。
- 简化证书管理：减少因用户误输入 http:// 导致的安全漏洞。
配置HSTS响应头
要在网站中启用HSTS,需要在Web服务器（如Nginx, Apache, IIS等）的配置中添加 Strict-Transport-Security 响应头。
该头信息包含以下关键参数：
| 参数 | 描述 | 示例值 |
|---|---|---|
| max-age | 浏览器应记住HSTS策略的时间（秒）。 | 31536000 (1年) |
| includeSubDomains | 可选，如果存在，策略也适用于所有子域名。 | includeSubDomains |
| preload | 可选，如果存在，表示希望将域名加入浏览器的HSTS预加载列表。 | preload |
配置示例
Nginx 配置：
Apache 配置：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
IIS 配置：
在 web.config 中添加：
<system.webServer> <httpProtocol> <customHeaders> <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload" /> </customHeaders> </httpProtocol> </system.webServer>
实施步骤与注意事项
第一步：确保HTTPS已正确配置
在启用HSTS之前,必须确保网站已经全面支持HTTPS，并且所有HTTP请求都能正确重定向到HTTPS，如果配置错误，可能导致用户无法访问网站。
第二步：设置合理的 max-age
- 初期测试：建议先设置较短的时间，如 max-age=300（5分钟），以便测试和调试。
- 正式启用：确认无误后，再设置为较长的时间，如 max-age=31536000（1年）或更长。
第三步：决定是否包含子域名
如果网站有多个子域名（如 api.example.com, mail.example.com），建议添加 includeSubDomains 参数，以保护所有子域，但需注意，如果某个子域名尚未支持HTTPS，添加此参数会导致该子域名无法访问。
第四步：考虑预加载（Preload）
HSTS预加载列表是由浏览器厂商（如Chrome, Firefox, Safari）维护的一个内置列表，将域名加入预加载列表后，即使浏览器从未访问过该网站，也会默认使用HTTPS。
加入预加载列表的条件：
- 域名必须仅支持HTTPS。
- 必须配置 includeSubDomains。
- 必须配置 preload。
- max-age 至少为31536000秒（1年）。
- 域名必须通过预加载检查工具验证。
提交预加载：
访问 hstspreload.org 提交域名申请。
常见问题与排查
-
启用HSTS后网站打不开？
- 检查HTTPS证书是否有效。
- 检查HTTP到HTTPS的重定向是否正确配置。
- 如果之前设置了较长的 max-age，可能需要等待过期或清除浏览器缓存。
-
如何验证HSTS是否生效？
- 使用浏览器开发者工具（F12），在“网络”标签页中查看响应头是否包含 Strict-Transport-Security。
- 使用在线工具如 HSTS Preload Check 或 SSL Labs 进行测试。
相关问题与解答
问题1：如果我在启用HSTS后，发现某个子域名无法通过HTTPS访问，该怎么办？
解答：
如果某个子域名尚未支持HTTPS，但主域名已启用 includeSubDomains 的HSTS策略，浏览器会强制该子域名使用HTTPS，导致访问失败，解决方法有两种：
- 为子域名配置HTTPS：这是推荐的做法，确保所有子域名都支持HTTPS。
- 暂时移除 includeSubDomains：如果暂时无法为子域名配置HTTPS，可以暂时从HSTS头中移除 includeSubDomains 参数，但这会降低安全性，待子域名支持HTTPS后，再重新添加该参数。
问题2：HSTS预加载列表中的域名如果出现问题，如何紧急移除？
解答：
一旦域名被加入HSTS预加载列表，浏览器会强制使用HTTPS，即使服务器端暂时关闭了HTTPS或配置错误，用户也无法通过HTTP访问，在加入预加载列表前必须确保万无一失。
如果确实需要紧急移除,流程如下：
- 从服务器移除HSTS头：立即从Web服务器配置中移除 Strict-Transport-Security 头。
- 从预加载列表申请移除：访问 hstspreload.org，点击 “Remove Domain” 按钮，提交移除申请。
- 等待浏览器更新：浏览器厂商会定期更新预加载列表，移除操作可能需要几天到几周的时间才能生效，在此期间，用户可能仍会因缓存或预加载列表而遇到访问问题，务必在加入预加载前进行充分测试。
