HSTS

HSTS (HTTP Strict Transport Security) declara mediante una cabecera HTTP que un sitio solo es accesible por HTTPS, evitando el SSL stripping y los ataques de degradación.

Propósito

Obliga a los navegadores a usar siempre HTTPS para el sitio, incluso cuando el usuario escribe HTTP.

Mecanismo

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Una vez que el navegador lo registra, cada petición HTTP se actualiza automáticamente a HTTPS durante el periodo max-age. La directiva preload habilita al sitio para la lista HSTS Preload integrada del navegador.

Casos de uso

Defensa contra SSL stripping
Actualización forzada a HTTPS
Protección de subdominios
La lista preload

Ejemplos

entrada

max-age=31536000; preload

Output

HTTPS enforced for one year

With preload

Errores comunes

Without HSTS, the first HTTP visit is exposed to man-in-the-middle attackers: Set HSTS and join the preload list

Términos relacionados

TLS (Transport Layer Security) proporciona cifrado, integridad y autenticación en la capa de transporte; sustituyó a SSL y sustenta HTTPS, SMTPS y más.

HTTPS es HTTP sobre TLS: cifra la comunicación HTTP en la capa de transporte, proporcionando confidencialidad, integridad y autenticación del servidor, y es el estándar web moderno.

Security Header

Las cabeceras HTTP de seguridad son cabeceras de respuesta que ordenan al navegador activar mecanismos de seguridad, como CSP, HSTS y X-Frame-Options.

References