上一篇
HTTP严格传输安全协议有什么用？如何配置HSTS提升网站安全
HTTP 严格传输安全协议（HSTS, HTTP Strict Transport Security）是一种 Web 安全策略机制，旨在帮助网站保护用户免受中间人攻破（MITM）和协议降级攻破，它通过强制浏览器与服务器之间建立加密连接，确保数据传输的安全性。
核心功能与工作原理
HSTS 的核心作用在于消除“首次访问”时的安全隐患，在没有 HSTS 的情况下，用户通常通过 HTTP 访问网站，浏览器随后重定向到 HTTPS，在这个重定向过程中，攻破者可以拦截 HTTP 请求，将用户引导至恶意站点或窃取敏感信息。
启用 HSTS 后，服务器会在响应头中发送 Strict-Transport-Security 字段，浏览器接收到该指令后，会在指定的时间内（由 max-age 参数决定），强制将所有对该域名的请求转换为 HTTPS 请求，即使用户在地址栏手动输入了 http://。
关键配置参数解析
HSTS 策略主要通过响应头中的几个关键参数来控制其行为：
| 参数名称 | 说明 | 示例值 | 作用 |
|---|---|---|---|
| max-age | 策略生效的时间长度（秒） | max-age=31536000 | 告诉浏览器在接下来的一年内，必须使用 HTTPS 访问该域名。 |
| includeSubDomains | 是否适用于子域名 | includeSubDomains | 如果设置此标志，HSTS 策略将应用于所有子域名（如 api.example.com）。 |
| preload | 是否请求加入预加载列表 | preload | 允许网站请求被加入浏览器的 HSTS 预加载列表中，实现“零次往返”的安全保护。 |
为什么需要 HSTS？
- 防止协议降级攻破：攻破者可能会尝试将 HTTPS 连接降级为不安全的 HTTP 连接，以便窃听或改动数据，HSTS 强制浏览器始终使用 HTTPS，从根本上杜绝了这种可能性。
- 消除重定向漏洞：传统的安全重定向（HTTP -> HTTPS）存在时间窗口，攻破者可以利用这个窗口进行截持，HSTS 在浏览器本地缓存策略，避免了这种网络层面的重定向风险。
- 提升用户信任度：启用 HSTS 并加入预加载列表的网站，在浏览器地址栏通常会显示更安全的标识，增强用户对网站安全性的信心。
实施 HSTS 的最佳实践
- 初始部署：建议先从较小的 max-age 值开始（如 300 秒），并移除 includeSubDomains 和 preload 标志，以监控潜在问题。
- 全面启用：确认没有混合内容（Mixed Content）问题后，逐步增加 max-age 值，并添加 includeSubDomains。
- 预加载列表：在确保网站完全支持 HTTPS 且无混合内容后，可申请加入 Chrome、Firefox 等主流浏览器的 HSTS 预加载列表，一旦加入，即使浏览器从未访问过该网站，也会默认使用 HTTPS。
注意事项
- 不可逆性：一旦网站加入 HSTS 预加载列表，即使后续移除 HSTS 头，浏览器仍会强制使用 HTTPS，可能导致网站无法访问，在加入预加载列表前必须确保网站长期稳定支持 HTTPS。
- 问题：如果网站页面中引用了 HTTP 资源（如图片、脚本），浏览器可能会阻止加载或发出警告，启用 HSTS 前需确保所有资源均通过 HTTPS 加载。
相关问题与解答
问题 1：如果我在浏览器中手动输入 http:// 访问启用了 HSTS 的网站，会发生什么？
解答：
浏览器会根据本地缓存的 HSTS 策略，自动将请求转换为 https:// 并重新发起请求，用户不会看到 HTTP 版本的页面，也不会经历从 HTTP 到 HTTPS 的重定向过程，如果网站尚未启用 HSTS 或策略已过期，浏览器才会尝试通过 HTTP 连接。
问题 2：HSTS 预加载列表对网站有什么影响？为什么有些网站无法加入预加载列表？
解答：
加入 HSTS 预加载列表意味着浏览器在首次访问该网站时，就会强制使用 HTTPS，无需等待服务器响应头，这提供了最高级别的安全保护，网站必须满足严格条件才能加入：必须支持 HTTPS、所有子域名必须启用 HSTS、不能有混合内容、且 max-age 至少为 31536000 秒（一年），一旦加入，即使网站后续停止支持 HTTPS，浏览器仍会强制使用 HTTPS，导致网站无法访问，只有那些能长期稳定提供 HTTPS 服务的网站才适合加入预加载列表。
