HSTS概览

本文详细介绍了HSTS的概念、作用、工作原理、以及如何设置HSTS。同时，结合HTTPS和HSTS安全机制，提高数据通信的安全。

HTTP与HSTS

用户在访问某个HTTPS网站时，往往在浏览器中直接输入网站域名，如：www.example.com，而不是输入完整的URL，如：https://www.example.com，但浏览器依然能正确的使用HTTPS发起请求。这种客户体验多亏了服务器和浏览器之间的互相协作。

那这一切是否就是安全的呢？其实不然。由于在建立起HTTPS连接之前存在一次明文的HTTP请求和重定向，使攻击者可以以中间人的方式劫持这次请求，从而进行后续的攻击（如：窃听数据、篡改请求和响应、跳转到钓鱼网站等）。

那么如何避免HTTPS建立连接之前的那次明文的HTTP请求和重定向，从而防止被中间人攻击，规避风险呢？有没有可能当浏览器发起HTTP请求时，浏览器将其转换为HTTPS请求，直接略过上述的HTTP请求和重定向呢？这就需要启用HTTP Strict Transport Security（HSTS）机制了。

什么是HSTS

HTTP Strict Transport Security（HSTS）是一种Web安全策略机制（web security policy mechanism）。

HSTS最早于2015年被纳入到ThoughtWorks技术雷达，并且在2016年的最新一期技术雷达里，它直接从**评估（Trial）阶段进入到采用（Adopt）**阶段，这意味着ThoughtWorks强烈主张业界积极采用这项安全防御措施，并已经将其应用于自己的项目。

HSTS最为核心的是HTTP响应头（HTTP Response Header），其格式为：

Strict-Transport-Security: max-age=XXX; includeSubDomains; preload

这表明，在接下来的一段时间内，浏览器只要向当前域名或其子域名发送HTTP请求，其通信必须采用HTTPS来发起连接。其中：

max-age是必填参数，是一个以秒为单位的数值，它代表着HSTS响应头的过期时间，通常设置为一年，即31536000秒。
includeSubDomains是可选参数，如果包含它，则意味着当前域名及其子域名均开启HSTS保护。
preload是可选参数，只有当你申请将自己的域名加入到浏览器内置列表时，才需要使用到它。关于浏览器内置列表，参阅本文下方更多信息章节。

HSTS作用

HSTS的作用是强制客户端（如：浏览器）使用HTTPS与服务器创建连接，用户无需手动在URL地址栏中输入HTTPS，浏览器始终保持HTTPS链接访问网页。

同时，在启用HSTS安全机制后，它可以做到：

浏览器强制拒绝不安全的链接
在没有HSTS保护下，当浏览器发现当前连接不安全时，浏览器会警告用户，但是却又允许用户继续不安全的访问。但在启用HSTS保护下，当浏览器发现当前连接不安全时，除了会警告用户外，它还将彻底阻止用户继续访问此网站。如下图所示：
设置HSTS Preload List ，全面防御攻击
当浏览器没有当前网站的HSTS信息，或者是第一次访问当前网站时，依然需要一次明文HTTP请求和重定向才能切换到HTTPS，以及刷新HSTS信息，而这一瞬间可能给攻击者留下可乘之机。针对此安全隐患，HSTS也有应对办法。那就是在浏览器里内置一个列表，只要是在这个列表里的域名，无论何时、何种情况，浏览器都只使用HTTPS发起连接。这个列表由Google Chromium维护，FireFox、Safari、Internet Explorer等主流浏览器均在使用。

HSTS工作原理

其工作原理主要是通过服务器，发送响应头的方式来控制浏览器操作：

客户端（如：浏览器）通过HTTPS发出请求时，服务器会在返回的HTTP响应头中包含Strict-Transport-Security字段。
浏览器接收到这样的信息之后，在一定期限内，对当前域名下的任何请求都只能以HTTPS发起访问请求，而不会以HTTP发起再由服务器重定向到HTTPS。

详细的工作流程图如下所示：

注意：更多有关max-age参数的有效期问题，参阅本文下方更多信息章节。

如何配置HSTS

你可以根据自身实际情况，选择在哪里设置HSTS，例如：反向代理服务器、应用服务器、应用程序框架，以及应用程序中自定义Header 。常见的是在Nginx、Apache、IIS下的配置文件中配置。

在Nginx服务器中添加下列指令进行配置：
```
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
```
注意：在生产环境下使用HSTS机制时，建议先将max-age参数的值设置小一些（如：若干分钟），检查HSTS是否能正常工作，网站能否正常访问，然后再逐步将时间延长（如：一周/一个月），并在这个时间范围内继续检查HSTS是否正常工作，最后才改到一年。这是因为当网站证书有问题时，一旦浏览器接收到HSTS Header ，那么用户将在有HSTS效期间内，直到证书错误被修复，或者用户主动清除浏览器缓存为止，都无法访问到你的网站。

Apache下的配置：

在httpd.conf文件中加载headers模块:

LoadModule headers_module /usr/lib/apache2/modules/mod_headers.so

在VirtualHost 0.0.0.0:443中添加下面代码行：

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"

重启Apache服务器。

IIS下的配置：
在web.config文件中添加下列命令行进行配置：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<system.webServer>
    <rewrite>
        <rules>
            <rule name="HTTP to HTTPS redirect" stopProcessing="true">
                <match url="(.*)" />
                <conditions>
                    <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                </conditions>
                <action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
                    redirectType="Permanent" />
            </rule>
        </rules>
        <outboundRules>
            <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
                <match serverVariable="RESPONSE_Strict_Transport_Security"
                    pattern=".*" />
                <conditions>
                    <add input="{HTTPS}" pattern="on" ignoreCase="true" />
                </conditions>
                <action type="Rewrite" value="max-age=31536000" />
            </rule>
        </outboundRules>
    </rewrite>
</system.webServer>
</configuration>

HSTS概览

HTTP与HSTS

什么是HSTS

HSTS作用

HSTS工作原理

如何配置HSTS

更多信息

Max-age参数有效期如何计算，到期后怎么办？

如何申请将域名添加到浏览器内置列表中？

如何查询域名已经成功加入到浏览器内置列表中？

支持HSTS机制的浏览器有哪些？