Как включить HSTS на nginx и Apache

1. Проверьте текущий HSTS. Откройте /security, введите домен. Если grade < A — HSTS отсутствует или неправильный.
2. nginx — добавьте заголовок. В server block 443: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
3. Apache — добавьте через mod_headers. Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
4. Проверьте все subdomains. Если есть www, api, status, blog — каждый должен отдавать HSTS. Иначе preload невозможен.
5. Submit на hstspreload.org. Заполните форму на hstspreload.org. Проверка 1-2 месяца. Потом попадёте в Chrome built-in list.

Открыть инструмент →

Для включения HSTS на сайте с использованием Nginx, выполните следующие шаги:

• Откройте конфигурационный файл Nginx, например, sudo nano /etc/nginx/sites-available/default.
• Добавьте следующий код в раздел сервера:
add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload';
• Сохраните изменения и перезапустите Nginx командой sudo systemctl restart nginx.
• Проверьте, что HSTS включён, используя инструменты для проверки HTTP-заголовков.

Чтобы проверить, что HSTS включён на вашем сайте, выполните следующие действия:

• Откройте браузер и введите URL вашего сайта.
• Используйте инструменты для проверки HTTP-заголовков, такие как curl или расширения для браузеров.
• Проверьте наличие заголовка Strict-Transport-Security с параметрами max-age, includeSubDomains и preload.
• Если заголовок присутствует, значит HSTS включён.

Пример команды для проверки с помощью curl:

Для включения HSTS на сайте с использованием Apache, выполните следующие шаги:

• Откройте конфигурационный файл Apache, например, sudo nano /etc/apache2/sites-enabled/000-default.conf.
• Добавьте следующий код в раздел сервера:
Header set Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload'
• Сохраните изменения и перезапустите Apache командой sudo systemctl restart apache2.
• Проверьте, что HSTS включён, используя инструменты для проверки HTTP-заголовков.

После выполнения этих шагов, ваш сайт будет использовать HSTS, обеспечивая безопасное соединение для пользователей.