Jak działa HSTS?
Serwer zwraca nagłówek Strict-Transport-Security. Przeglądarka zapamiętuje regułę przez czas wskazany w max-age i przy kolejnych wizytach automatycznie wybiera HTTPS, zanim wyśle żądanie przez niezabezpieczone HTTP.
Co oznaczają parametry?
max-age określa czas obowiązywania reguły w sekundach. includeSubDomains rozszerza ochronę na subdomeny, a preload pozwala zgłosić domenę do listy wbudowanej w popularne przeglądarki.
Najczęstsze ryzyko wdrożenia
Zbyt szybkie użycie includeSubDomains lub preload może odciąć subdomenę, która nie obsługuje HTTPS. Dlatego warto zaczynać od krótszego max-age, sprawdzić wszystkie usługi i dopiero później zwiększać zakres ochrony.
Zalecana kolejność
Najpierw zapewnij poprawny certyfikat i przekierowanie HTTP do HTTPS. Następnie włącz HSTS z krótkim czasem, obserwuj błędy, zwiększ max-age i rozważ includeSubDomains oraz preload dopiero po pełnej inwentaryzacji subdomen.