HSTS

目的

ユーザーが HTTP を入力した場合でも、ブラウザにそのサイトでは常に HTTPS を使わせる。

メカニズム

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload。ブラウザが一度記録すると、max-age の期間中すべての HTTP リクエストが自動的に HTTPS へアップグレードされる。preload ディレクティブはブラウザ内蔵の HSTS プリロードリストへの登録資格を与える。

ユースケース

• SSL ストリッピング対策
• HTTPS への強制アップグレード
• サブドメイン保護
• プリロードリスト

例

• 入力

  max-age=31536000; preload

  Output

  HTTPS enforced for one year

  With preload

よくあるエラー

Without HSTS, the first HTTP visit is exposed to man-in-the-middle attackers

Set HSTS and join the preload list