Skip to main content

HSTS配置指南：强制HTTPS访问的安全策略

· 2 min read
OHTTPS

HSTS（HTTP Strict Transport Security）是一个安全策略机制，强制浏览器只能通过HTTPS访问网站，防止降级攻击。本文将详细介绍如何配置HSTS。

一、什么是HSTS​

1. HSTS的定义​

HSTS是一个HTTP响应头，告诉浏览器在指定时间内只能通过HTTPS访问网站，即使输入HTTP也会自动跳转到HTTPS。

2. HSTS的作用​

  • 防止降级攻击
  • 强制使用HTTPS
  • 提高网站安全性

二、HSTS配置​

1. Nginx配置​

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

2. Apache配置​

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

3. 参数说明​

  • max-age=31536000：有效期1年（秒）
  • includeSubDomains：包含所有子域名
  • preload：可以提交到HSTS预加载列表

三、HSTS预加载​

1. 提交到预加载列表​

  1. 访问 https://hstspreload.org/
  2. 输入域名
  3. 检查是否符合要求
  4. 提交申请

2. 预加载要求​

  • 必须包含 includeSubDomains
  • 必须包含 preload
  • max-age至少31536000（1年）
  • 所有子域名必须支持HTTPS

四、最佳实践​

1. 配置建议​

  • ✅ 设置合理的max-age值
  • ✅ 包含includeSubDomains
  • ✅ 提交到预加载列表

2. 注意事项​

  • ⚠️ 一旦启用HSTS，很难撤销
  • ⚠️ 确保所有子域名支持HTTPS
  • ⚠️ 测试HSTS配置

总结​

HSTS是提高HTTPS网站安全性的重要措施。通过正确配置HSTS，可以强制浏览器使用HTTPS，防止降级攻击。

OHTTPS: 免费HTTPS证书/SSL证书申请 • 自动化更新、部署、监控
OHTTPS 支持通过多种域名验证方式(DNS验证、HTTP验证、文件验证等)申请免费的HTTPS证书/SSL证书，包括单域名证书、多域名证书、通配符证书、IP证书等，支持HTTPS证书/SSL证书的自动化更新、自动化部署、自动化监控及告警等，并支持将HTTPS证书/SSL证书自动化部署至阿里云、腾讯云、群晖NAS、百度云、七牛云、多吉云、又拍云、宝塔面板、Docker容器、SSH等，实现HTTPS证书/SSL证书的一站式申请、更新、部署、监控和管理。