¿Qué es HSTS?

También llamado: HTTP Strict Transport Security, Strict-Transport-Security, HSTS preload

Aunque tengas una redirección 301 de HTTP a HTTPS, la primera petición sigue yendo sin cifrar, y un atacante en una red wifi pública podría interceptarla. Con HSTS, el navegador recuerda que tu web es solo HTTPS y ni siquiera intenta la conexión insegura.

Ejemplo

El servidor envía la cabecera en sus respuestas HTTPS:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

• max-age=31536000 — el navegador lo recuerda durante un año.
• includeSubDomains — se aplica también a todos los subdominios.
• preload — autoriza a incluir el dominio en la lista que traen de serie los navegadores.

En Nginx:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Cómo activarlo sin sustos

1. Asegúrate de que la web y todos los subdominios funcionan por HTTPS con un certificado válido.
2. Empieza con un max-age corto (por ejemplo, 300 segundos) y sin includeSubDomains.
3. Ve subiendo hasta un año cuando compruebes que todo va bien.
4. Solo al final, si quieres, añade preload y solicita la inclusión en la lista de precarga.

Errores habituales

• Activar includeSubDomains con un subdominio que solo funciona por HTTP (un panel antiguo, una intranet): dejará de ser accesible en los navegadores que vieron la cabecera, hasta que caduque max-age.
• Entrar en la lista de preload a la ligera: salir de ella tarda meses.

¿Tienes un producto o servicio relacionado con HSTS? Anúnciate en este término.

Categorías: Seguridad Web