Как включить HSTS на nginx и Apache
Для включения HSTS: добавьте заголовок Strict-Transport-Security: max-age=31536000; includeSubDomains; preload в nginx (add_header) или Apache (Header set). Для попадания в hstspreload.org — все subdomains тоже должны отдавать HSTS и HTTPS.
Пошаговая инструкция
- Проверьте текущий HSTS. Откройте /security, введите домен. Если grade < A — HSTS отсутствует или неправильный.
- nginx — добавьте заголовок. В server block 443:
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; - Apache — добавьте через mod_headers.
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" - Проверьте все subdomains. Если есть www, api, status, blog — каждый должен отдавать HSTS. Иначе preload невозможен.
- Submit на hstspreload.org. Заполните форму на hstspreload.org. Проверка 1-2 месяца. Потом попадёте в Chrome built-in list.
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
Нужна регистрация?
Нет для быстрой проверки. Для continuous-мониторинга — бесплатный аккаунт.