Kaj je HSTS in kako ga lahko aktiviramo?

HSTS (HTTP Strict Transport Security) je spletni varnostni mehanizem, ki pomaga zaščititi spletna mesta pred "napadom z znižanjem protokola" in "krajo piškotkov". S pomočjo HSTS spletni strežnik obvešča spletne brskalnike, da se na straneh, kjer je ta mehanizem omogočen, povezava lahko vzpostavi le prek HTTPS in nikoli prek HTTP, pri čemer se zahtevki, poslani prek HTTP, ignorirajo.

Ker ob prvi povezavi spletnega odjemalca na spletno stran ta še ne ve, ali se bo povezava zgodila preko HTTP ali HTTPS in čaka na navodila s spletnega strežnika, obstaja še vedno možnost prestrezanja komunikacij. Da bi odpravili tudi to tveganje, lahko po aktivaciji HSTS domena vključena v seznam "pred-nadgradnje" spletnih strani. Tako bo ime domene vneseno v spletni brskalnik kot delujoče samo preko HTTPS.

Pozor: Po dodajanju na seznam "prednalaganja" spletna stran ne bo več delovala na HTTP, temveč samo na HTTPS.

Več informacij o seznamih "prednalaganja" ter dodajanju ali odstranjevanju domene s teh seznamov lahko preberete na: https://hstspreload.org/.

Primer implementacije HSTS v datoteki .htaccess Apache spletnega strežnika:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"