HSTS Preload: определение, применение и примеры

HSTS Preload — список доменов, встроенный прямо в браузеры (Chrome, Firefox, Safari, Edge). Все запросы на preloaded домены ВСЕГДА идут по HTTPS, даже при первом визите. Зарегистрироваться можно на hstspreload.org — нужен HSTS заголовок с includeSubDomains; preload; max-age ≥ 31536000. Ultimate HTTPS-защита.

Открыть инструмент →

Чтобы добавить домен в HSTS Preload List, необходимо добавить соответствующий HTTP-заголовок на сервере. Для этого выполните следующие шаги:

• Получите доступ к настройкам сервера.
• Добавьте HTTP-заголовок Strict-Transport-Security с параметрами includeSubDomains, preload и max-age ≥ 31536000.
• Пример конфигурации для Apache:
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
• Перезапустите веб-сервер для применения изменений.

HSTS Preload List обеспечивает дополнительный уровень защиты для пользователей, гарантируя, что все запросы к предварительно загруженным доменам будут осуществляться по протоколу HTTPS. Это особенно важно в условиях растущего числа угроз в интернете.

Преимущества использования HSTS Preload List:

• Защита от атак типа Man-in-the-Middle (MitM).
• Предотвращение использования устаревших версий протоколов.
• Повышение доверия пользователей к сайту.

Использование HSTS Preload List помогает обеспечить более безопасное соединение между пользователем и сервером.

После добавления домена в HSTS Preload List через HTTP-заголовок, необходимо проверить, был ли домен успешно добавлен. Для этого можно использовать следующие методы:

• Проверьте наличие домена в списке на сайте hstspreload.org.
• Используйте инструменты для мониторинга HSTS, такие как curl или wget, чтобы проверить наличие HTTP-заголовка Strict-Transport-Security на сервере.
• Пример команды для проверки наличия заголовка с помощью curl:
curl -I https://example.com
• Если домен был успешно добавлен, вы увидите соответствующий HTTP-заголовок в ответе сервера.