HSTS чист ва онро чӣ тавр фаъол кардан лозим
HSTS (Strict-Transport-Security) браузерро водор мекунад, ки ба сайт танҳо тавассути HTTPS пайваст шавад. Танзим барои Nginx, Apache ва Cloudflare ва чораҳои эҳтиёт.
HSTS барои чӣ лозим
Ҳатто агар сайт HTTPS-ро дастгирӣ кунад ҳам, корбар метавонад суроғаро бо http:// нависад. Дархости аввал бе рамзгузорӣ меравад ва ҳамлагар дар шабака онро гирифта, саҳифаро иваз карда метавонад (ҳамлаи SSL strip). Сарлавҳаи HSTS ба браузер мегӯяд: «дар муддати муайян ба ин сайт танҳо тавассути HTTPS пайваст шав».
Сарлавҳа чӣ тавр менамояд
HTTP
Strict-Transport-Security: max-age=31536000; includeSubDomains- max-age — браузер чанд сония HTTPS-ро дар хотир нигоҳ медорад (31536000 = 1 сол).
- includeSubDomains — қоида ба ҳамаи субдоменҳо низ дахл дорад.
- preload — ворид кардани домен ба рӯйхати дарунсохти браузерҳо (бо эҳтиёт, баргардонидан душвор).
Nginx, Apache ва Cloudflare
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;Apache
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"Дар Cloudflare: SSL/TLS → Edge Certificates → қисми HSTS.
Чораҳои эҳтиёт
- Аз қимати хурд оғоз кунед (масалан, max-age=300), боварӣ ҳосил карда, баъд зиёд кунед.
- includeSubDomains-ро танҳо ҳангоме фаъол кунед, ки ҳамаи субдоменҳо бо HTTPS кор кунанд.
- Сарлавҳа танҳо дар ҷавобҳои HTTPS фиристода мешавад; равонкунии 301 аз HTTP ба HTTPS ҷудо танзим мешавад.