HSTS Error: браузер заблокировал доступ по HSTS-политике

HSTS Error — сайт в HSTS-preload списке, но сейчас имеет сломанный SSL. Chrome не позволяет обойти предупреждение (security feature). Решение для владельца: исправить SSL-сертификат. Для тестирования: chrome://net-internals/#hsts → "Delete domain security policies".

Ошибка может появиться в Chrome, Edge, Opera, Brave (все на Chromium) и частично в Firefox и Safari. Разные браузеры отображают один и тот же код по-разному — но суть одна.

1. Проверьте SSL-сертификат онлайн — чекер Enterno.io покажет грейд, срок действия, цепочку и конкретную причину.
2. Если проблема на стороне сервера — перевыпустите сертификат через certbot или выбранного CA.
3. Обновите nginx/apache конфигурацию (настройте TLS 1.2/1.3, fullchain, правильные ciphers).
4. Проверьте kernel OpenSSL — устаревший openssl < 1.1 может ломать handshake.
5. После деплоя: проверьте ещё раз через SSL-чекер + очистите browser SSL-cache.

Проверить SSL сейчас →

• NET::ERR_CERT_AUTHORITY_INVALID
• ERR_CERT_DATE_INVALID
• ERR_SSL_PROTOCOL_ERROR
• Mixed Content
• Проверить SSL-сертификат онлайн →

Ошибка HSTS (HTTP Strict Transport Security) возникает, когда браузер не может установить безопасное соединение из-за неправильной конфигурации. Чтобы обойти HSTS Error, необходимо удалить домен из кеша HSTS браузера. Для этого в Chrome используйте команду chrome://net-internals/#hsts для очистки кэша. В Firefox можно воспользоваться командой about:preferences#privacy и удалить сайт из списка исключений.

HTTP Strict Transport Security (HSTS) — это механизм безопасности, который заставляет браузеры всегда использовать защищённое соединение (HTTPS) для доступа к веб-сайтам. Он защищает от атак типа «человек посередине» (MitM), принуждая браузер устанавливать соединение только через HTTPS. Когда сервер отвечает с заголовком Strict-Transport-Security, браузер сохраняет эту информацию в кэше, что предотвращает любые попытки доступа по HTTP. Заголовок может выглядеть так: Strict-Transport-Security: max-age=31536000; includeSubDomains, где max-age указывает время в секундах, в течение которого браузер должен соблюдать это правило.

Если вы столкнулись с HSTS Error, это может быть связано с несколькими причинами:

• Неправильная конфигурация сервера.
• Отсутствие действительного SSL-сертификата.
• Проблемы с сетью или прокси-серверами.

Для обхода HSTS Error важно понимать, как браузеры обрабатывают HSTS-заголовки. Например, если вы разрабатываете на локальном сервере и хотите протестировать изменения, вы можете удалить домен из кеша HSTS. В Chrome это делается следующим образом:

1. Откройте браузер и введите chrome://net-internals/#hsts в адресной строке.
2. В разделе Delete domain security policies введите ваш домен и нажмите кнопку Delete.

Для Firefox процесс немного отличается:

1. Перейдите в about:preferences#privacy.
2. В разделе Cookies and Site Data нажмите Manage Exceptions.
3. Найдите ваш домен и удалите его из списка.

После выполнения этих действий попробуйте снова получить доступ к вашему сайту. Если проблема сохраняется, проверьте настройки вашего SSL-сертификата и убедитесь, что он корректно установлен и действителен. Вы можете использовать команду openssl s_client -connect yourdomain.com:443 для проверки соединения и получения информации о сертификате.

Чтобы обойти HSTS Error, необходимо удалить домен из HSTS списка браузера. Для этого в Google Chrome можно воспользоваться командой chrome://net-internals/#hsts. Введите доменное имя в разделе Delete domain security policies и нажмите Delete. Это позволит вам временно игнорировать настройки HSTS и получить доступ к сайту без HTTPS.

HTTP Strict Transport Security (HSTS) — это веб-протокол, который заставляет браузеры устанавливать соединение с сайтом только через HTTPS. Это помогает предотвратить атаки типа «человек посередине» (MITM), однако может привести к проблемам доступа, если сертификаты SSL недействительны или сайт неправильно сконфигурирован.

HSTS работает с использованием HTTP-заголовка Strict-Transport-Security, который сервер отправляет браузеру. Этот заголовок сообщает браузеру, что данный сайт доступен только по протоколу HTTPS и устанавливает срок действия этого правила. Например, заголовок может выглядеть так:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Это означает, что браузер будет использовать HTTPS для данного домена и всех его поддоменов в течение одного года (31536000 секунд).

Если вы столкнулись с HSTS Error, это может произойти по нескольким причинам:

• Неправильная конфигурация HTTPS на сервере;
• Истекший или недействительный SSL-сертификат;
• Изменения в DNS или IP-адресе;
• Неправильные настройки на стороне клиента.

Чтобы обойти HSTS Error, вы можете временно удалить домен из списка HSTS, как описано выше, или использовать режим инкогнито, который может игнорировать некоторые кэшированные данные. Однако стоит помнить, что эти действия не решают основную проблему с конфигурацией сервера.

Пример настройки HSTS на сервере Apache:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Этот код добавляется в конфигурацию вашего виртуального хоста. После его добавления убедитесь, что HTTPS работает корректно и SSL-сертификаты действительны. В противном случае пользователи будут сталкиваться с HSTS Error, не имея возможности получить доступ к сайту.