HSTS: определение, синтаксис и примеры
HSTS (HTTP Strict Transport Security) — заголовок, который заставляет браузер всегда использовать HTTPS для данного домена, даже если пользователь вводит http:// или кликает по старой http-ссылке. Настраивается одной строкой: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Защищает от downgrade-атак.
Что такое HSTS
HSTS (HTTP Strict Transport Security) — заголовок, который заставляет браузер всегда использовать HTTPS для данного домена, даже если пользователь вводит http:// или кликает по старой http-ссылке. Настраивается одной строкой: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Защищает от downgrade-атак.
Проверить HSTS онлайн
Используйте инструмент Enterno.io — введите домен, получите результат за 1-2 секунды. Бесплатно, без регистрации.
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
Чем HSTS отличается от других DNS/HTTP концепций?
Смотрите полный разбор в основной статье выше. Для быстрой проверки — используйте наш онлайн-чекер.
Нужно ли ручное обновление?
Обычно нет — большинство современных сервисов настраивают автоматически. Ручная настройка нужна только при миграции или когда используется экзотическая конфигурация.