Čo je HSTS a kedy ho zapnúť

HSTS (Strict-Transport-Security) je pokyn, ktorý web pošle prehliadaču a ktorý znamená: „na tento web choď nabudúce vždy cez HTTPS, aj keď návštevník napíše adresu bez neho". Je to spevnenie navrch bežného certifikátu.

Čo rieši

Aj keď má web certifikát a presmerovanie z HTTP na HTTPS, existuje krátky okamih pri prvom pripojení, keď prehliadač skúsi nezabezpečené spojenie. HSTS tento okamih odstráni – prehliadač si zapamätá, že web patrí výhradne na HTTPS, a nezabezpečené spojenie ani nevyskúša. Sťažuje to niektoré typy útokov na verejných wifi sieťach.

Pozor: zapnúť až keď HTTPS spoľahlivo beží

HSTS má jednu pascu. Keď ho zapnete a web z akéhokoľvek dôvodu prestane fungovať cez HTTPS (napr. vyprší certifikát), prehliadače, ktoré si HSTS zapamätali, odmietnu web otvoriť – a nedá sa to rýchlo vrátiť. Preto sa HSTS zapína až vtedy, keď máte istotu, že certifikát je v poriadku a bude sa spoľahlivo obnovovať.

nobi preto ponúka nasadenie HSTS len na weboch, ktoré cez HTTPS reálne fungujú, a pred zásahom to overí.