讓你的HTTPS更安全-讓你的HTTPS更安全開啟HSTS讓瀏覽器強(qiáng)制跳轉(zhuǎn)HTTPS訪問

[重要通告]如您遇疑難雜癥,本站支持知識(shí)付費(fèi)業(yè)務(wù),掃右邊二維碼加博主微信,可節(jié)省您寶貴時(shí)間哦!

現(xiàn)如今很多的站都開啟了https，這是標(biāo)準(zhǔn)化建站模式，在網(wǎng)站全站HTTPS后，如果用戶手動(dòng)敲入網(wǎng)站的HTTP地址，或者從其它地方點(diǎn)擊了網(wǎng)站的HTTP鏈接，通常依賴于服務(wù)端301/302跳轉(zhuǎn)才能使用HTTPS服務(wù)。

而第一次的HTTP請(qǐng)求就有可能被劫持，導(dǎo)致請(qǐng)求無法到達(dá)服務(wù)器，從而構(gòu)成HTTPS降級(jí)劫持。這個(gè)問題目前可以通過HSTS(HTTP Strict Transport Security，RFC6797)來解決。先說說說HSTS；

HSTS簡(jiǎn)介

HSTS(HTTP Strict Transport Security)是國(guó)際互聯(lián)網(wǎng)工程組織IETF發(fā)布的一種互聯(lián)網(wǎng)安全策略機(jī)制。采用HSTS策略的網(wǎng)站將保證瀏覽器始終連接到該網(wǎng)站的HTTPS加密版本，不需要用戶手動(dòng)在URL地址欄中輸入加密地址，以減少會(huì)話劫持風(fēng)險(xiǎn)。

hsts預(yù)加載列表，可以理解為：用戶在訪問網(wǎng)站時(shí)，會(huì)判斷你是http網(wǎng)站還是https網(wǎng)站。通過這個(gè)預(yù)加載列表，可以實(shí)現(xiàn)在用戶訪問之前就能知道是https。這里我用的apache，給出apache關(guān)于hsts配置內(nèi)容如下：

開啟HSTS讓瀏覽器強(qiáng)制跳轉(zhuǎn)HTTPS訪問教程

部署的話，首先啟用HSTS的header模塊LoadModule?headers_module?/usr/lib/apache2/modules/mod_headers.so

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

上述代碼放于網(wǎng)站配置文件中，一般是httpd.conf文件等網(wǎng)站配置文件。寶塔界面，可以直接點(diǎn)擊網(wǎng)站，設(shè)置，切換到配置文件選項(xiàng)，添加內(nèi)容即可。

PS：注意，是配置文件不是偽靜態(tài)文件，注意添加文件位置，再你網(wǎng)站目錄的下方一點(diǎn)；

HSTS響應(yīng)頭格式

max-age，單位是秒，用來告訴瀏覽器在指定時(shí)間內(nèi)，這個(gè)網(wǎng)站必須通過HTTPS協(xié)議來訪問。也就是對(duì)于這個(gè)網(wǎng)站的HTTP地址，瀏覽器需要先在本地替換為HTTPS之后再發(fā)送請(qǐng)求。
includeSubDomains，可選參數(shù)，如果指定這個(gè)參數(shù)，表明這個(gè)網(wǎng)站所有子域名也必須通過HTTPS協(xié)議來訪問。
preload，可選參數(shù)，一個(gè)瀏覽器內(nèi)置的使用HTTPS的域名列表。

然后再到 https://hstspreload.org/ 網(wǎng)站，提交一下你的網(wǎng)站。之后，各大主流瀏覽器就會(huì)內(nèi)置你的域名到他們的hsts列表中，直接內(nèi)置到瀏覽器中。

PS:自己站帶www就提交帶WWW的，不帶的就提交不帶的，別搞亂了嘍；

問題未解決？付費(fèi)解決問題加Q或微信 2589053300 (即Q號(hào)又微信號(hào))右上方掃一掃可加博主微信

所寫所說，是心之所感，思之所悟，行之所得；文當(dāng)無敷衍，落筆求簡(jiǎn)潔。 以所舍，求所獲；有所依，方所成！