HSTS: kako da naterate pregledače da uvek koriste HTTPS

Imate SSL sertifikat i sajt radi na HTTPS-u — ali da li je zaista siguran? Ako neko ukuca vašu adresu bez https://, prvi zahtev ipak ide preko nešifrovanog HTTP-a, i tek onda ga preusmerenje prebacuje na bezbednu vezu. Taj kratak trenutak je prostor za napad. HSTS zatvara upravo tu rupu.

Šta je HSTS

HSTS (HTTP Strict Transport Security) je HTTP zaglavlje kojim server kaže pregledaču: od sada, pa narednih X sekundi, ovaj domen otvaraj isključivo preko HTTPS-a, bez izuzetka. Pregledač to zapamti i sve buduće zahteve automatski šalje kao HTTPS, čak i ako korisnik ukuca običan HTTP link. Time se sprečava tzv. SSL stripping napad, gde napadač pokušava da žrtvu zadrži na nešifrovanoj vezi.

Kako izgleda i šta znače parametri

Zaglavlje izgleda ovako: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Tri dela:

• max-age — koliko dugo (u sekundama) pregledač pamti pravilo. 31536000 je godinu dana, što je preporučena vrednost za produkciju.
• includeSubDomains — pravilo važi i za sve poddomene. Uključite ga tek kada ste sigurni da baš svaki poddomen radi na HTTPS-u.
• preload — signal da želite da uđete na ugrađenu listu pregledača, gde je HTTPS obavezan već pri prvoj poseti.

Kako se uključuje bez rizika

Ključno pravilo: pre nego što postavite dugačak max-age, uverite se da ceo sajt i svi poddomeni besprekorno rade na HTTPS-u. Ako kasnije poželite da isključite HTTPS, a pregledači i dalje pamte HSTS, sajt će biti nedostupan tim posetiocima do isteka max-age. Zato krenite oprezno — postavite kratak max-age (npr. 300 sekundi), proverite da sve radi, pa tek onda povećajte na godinu dana i razmislite o preload listi.

Ako ne želite da se bakćete sa konfiguracijom servera, na našim SEO hosting paketima dolazi besplatan SSL, a HSTS i preusmerenja se podešavaju u par klikova. Uporedite planove i cene i krenite sa bezbednim HTTPS-om odmah.

Česta pitanja

Da li HSTS usporava sajt? Ne — naprotiv, štedi jedno preusmerenje jer pregledač odmah ide na HTTPS bez međukoraka.

Šta ako izgubim sertifikat? Dok je HSTS aktivan, pregledač odbija da otvori sajt bez validnog sertifikata. Zato je uredno obnavljanje sertifikata obavezno.

Pre uključivanja HSTS-a proverite da imate ispravan SSL sertifikat i HTTPS, rešite mešoviti sadržaj i postavite pravilna 301 preusmerenja sa HTTP na HTTPS.