HSTS

HSTS (HTTP Strict Transport Security) déclare via un en-tête HTTP qu'un site n'est joignable qu'en HTTPS, prévenant le SSL stripping et les attaques par rétrogradation.

Objectif

Il force les navigateurs à toujours utiliser HTTPS pour le site, même quand l'utilisateur saisit HTTP.

Mécanisme

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Dès que le navigateur l'enregistre, chaque requête HTTP est automatiquement promue en HTTPS pendant la durée max-age. La directive preload rend le site éligible à la liste HSTS Preload intégrée au navigateur.

Cas d’usage

Défense contre le SSL stripping
Promotion forcée vers HTTPS
Protection des sous-domaines
La liste preload

Exemples

entrée

max-age=31536000; preload

Output

HTTPS enforced for one year

With preload

Erreurs courantes

Without HSTS, the first HTTP visit is exposed to man-in-the-middle attackers: Set HSTS and join the preload list

Termes associés

TLS (Transport Layer Security) fournit chiffrement, intégrité et authentification au niveau transport ; il a remplacé SSL et soutient HTTPS, SMTPS et d'autres.

HTTPS est HTTP sur TLS : il chiffre la communication HTTP au niveau transport, fournissant confidentialité, intégrité et authentification du serveur, et constitue le standard web moderne.

Security Header

Les en-têtes HTTP de sécurité sont des en-têtes de réponse qui ordonnent au navigateur d'activer des mécanismes de sécurité, comme CSP, HSTS et X-Frame-Options.

References