HTTP严格传输安全协议怎么玩？HTTPS HSTS配置教程

HTTP 严格传输安全协议（HSTS, HTTP Strict Transport Security）是现代 Web 安全体系中至关重要的一环，它通过强制浏览器与服务器之间建立加密连接，有效防止了中间人攻破（MITM）和协议降级攻破，要真正“玩转” HSTS，不仅需要理解其基本原理，还需要掌握配置细节、调试技巧以及常见的误区。

核心原理：HSTS 是如何工作的？

HSTS 的核心机制非常简单：服务器在响应头中告诉浏览器，“以后访问我这个域名，无论用户输入什么，都强制使用 HTTPS”。

当浏览器首次访问一个启用了 HSTS 的网站时，服务器会在 HTTP 响应头中返回 Strict-Transport-Security 字段，浏览器接收到这个指令后，会将其记录在本地数据库中，在后续的访问中，即使用户在地址栏输入 http://example.com，浏览器也会自动将其转换为 https://example.com 再发起请求。

这一过程的关键在于预加载（Preload）机制，如果仅依赖服务器响应头，用户第一次访问时仍可能遭受 SSL 剥离攻破（即攻破者拦截第一次 HTTP 请求并阻止 HTTPS 重定向），为了解决这个问题，Chrome、Firefox 等主流浏览器维护了一个 HSTS 预加载列表，如果你的网站被加入该列表，浏览器在出厂时就内置了 HSTS 策略，无需等待服务器响应即可强制 HTTPS。

配置指南：如何正确设置 HSTS？

配置 HSTS 主要涉及三个参数，它们共同决定了策略的严格程度和适用范围。

基础配置示例

假设你的域名是 example.com，你可以这样配置 Nginx 或 Apache：

Nginx 配置：

Apache 配置：

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

关键注意事项

• always 关键字：在 Nginx 中，务必加上 always 参数，否则，当服务器返回错误页面（如 404 或 500）时，HSTS 头可能不会发送，导致浏览器无法记录策略。
• 子域名管理：如果使用了 includeSubDomains，请确保所有子域名都支持 HTTPS，如果某个子域名（如 dev.example.com）仅支持 HTTP，浏览器在访问该子域名时会报错，导致用户体验中断。
• 预加载资格：要申请加入预加载列表，max-age 必须至少为 31536000 秒（1年），且必须包含 includeSubDomains 和 preload 指令。

调试与验证：如何确认 HSTS 生效？

配置完成后,验证是否生效至关重要，你可以使用以下方法进行检查：

1. 浏览器开发者工具：

   • 打开 Chrome 或 Firefox 的开发者工具（F12）。
   • 切换到 Network（网络）标签页。
   • 刷新页面,点击任意一个请求。
   • 在 Headers（标头）中查找 Response Headers 部分，确认是否存在 Strict-Transport-Security 字段。

2. 命令行工具 curl：

   使用 curl 命令查看响应头：

   curl -I https://example.com

   输出中应包含类似 strict-transport-security: max-age=31536000; includeSubDomains; preload 的内容。

   

3. 在线检测工具：

   使用如 Security Headers 或 HSTS Preload 等在线工具，输入你的域名，它们会自动检测 HSTS 配置是否正确，以及是否已被预加载。

常见陷阱与最佳实践

不要过早启用预加载

在将域名加入预加载列表之前,务必确保所有子域名都完全迁移到 HTTPS，一旦加入预加载列表，无法撤销，如果某个子域名仍在使用 HTTP，用户访问该子域名时将直接失败，且无法通过清除缓存来恢复。

问题

启用 HSTS 后，页面中引用的所有资源（图片、脚本、样式表等）也必须通过 HTTPS 加载，如果页面中包含 HTTP 资源，浏览器可能会阻止加载，导致页面显示异常，请使用浏览器控制台的 Console 标签页检查是否有混合内容警告。

证书有效期管理

HSTS 的 max-age 设置得越长，一旦证书过期或配置错误，用户受影响的时间就越长，建议定期审查证书状态，并使用自动化工具（如 Let’s Encrypt 的 Certbot）确保证书自动续期。

内部网络与开发环境

在本地开发或内部测试环境中,通常不需要启用 HSTS，甚至可能带来不便（如自签名证书问题），建议在配置中通过条件判断，仅在生产环境启用 HSTS，在 Nginx 中：

if ($host = "example.com") { add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; }

相关问题与解答

问题 1：如果我已经启用了 HSTS，但发现某个子域名无法访问，该如何紧急修复？

解答：

这是一个高风险操作，因为 HSTS 策略存储在浏览器本地，无法通过服务器端直接撤销，如果误将 includeSubDomains 应用于一个仅支持 HTTP 的子域名，用户访问该子域名时会收到“连接不安全”或“无法连接”的错误。

紧急修复步骤：

1. 立即从服务器移除 HSTS 头：首先停止向所有域名发送 Strict-Transport-Security 头，防止新用户或缓存未清除的用户继续受到策略影响。
2. 通知用户清除缓存：由于 HSTS 策略已存储在用户浏览器中，普通用户无法自行解决，你需要通过其他渠道（如邮件、公告）通知受影响用户手动清除浏览器缓存，或等待 max-age 过期。
3. 检查预加载列表：如果域名已被加入预加载列表，情况会更复杂，此时只能等待预加载列表更新（通常由浏览器厂商定期更新），或者联系浏览器厂商提交移除请求（但这需要时间）。
4. 未来预防：在启用 includeSubDomains 之前，务必使用子域名扫描工具检查所有子域名的 HTTPS 支持情况。

问题 2：HSTS 预加载列表（Preload List）的作用是什么？它和普通 HSTS 头有什么区别？

解答：

普通 HSTS 头依赖于服务器响应，当用户第一次访问网站时，浏览器发送 HTTP 请求，服务器返回 HTTPS 重定向或 HSTS 头，在这个过程中，如果攻破者进行中间人攻破，拦截并丢弃 HTTPS 重定向，用户就可能被降级到 HTTP，从而遭受窃听或改动。

HSTS 预加载列表则是将域名硬编码到浏览器内核中，浏览器在发起任何请求之前，就会检查该域名是否在预加载列表中，如果在，浏览器会直接发起 HTTPS 请求，完全跳过 HTTP 阶段。

主要区别：

• 安全性：预加载提供了更高的安全性，因为它消除了首次访问时的 SSL 剥离攻破风险。
• 不可逆性：普通 HSTS 可以通过移除服务器响应头来“撤销”策略（等待 max-age 过期）；而预加载一旦加入，无法撤销，直到浏览器厂商更新列表。
• 配置要求：预加载要求更严格，必须设置 max-age 至少为 1 年，并包含 includeSubDomains 和 preload 指令。