מה הדפדפן לומד מהמדיניות
הערך max-age קובע לכמה זמן הדפדפן זוכר את הדרישה. includeSubDomains מרחיב את התחולה לתתי-דומיין בהתאם לכללי המנגנון. זו אינה סתם הפניה רגילה מ-HTTP ל-HTTPS: מדיניות זכורה משפיעה על בקשות עתידיות אצל אותו דפדפן.
MDN מתארת גם מצבים שבהם הדפדפן אינו מאפשר להמשיך דרך שגיאת TLS תחת HSTS. לכן לא מוסיפים כותרת ארוכה כדי לקבל סימון בכלי בדיקה בלי לוודא שהמארחים שעליהם היא חלה מוכנים לשימוש יציב ב-HTTPS.
מה ההבדל בין הפניה, HSTS ו-preload
הפניה היא תשובת שרת שמשנה את יעד הבקשה. HSTS הוא מידע שהדפדפן יכול לזכור. Preload הוא מסלול נפרד של הכללה ברשימות בדפדפנים, עם תנאים ותהליך משלו; הוספת המילה לכותרת אינה לבדה הוכחה שהדומיין כבר ברשימה.
| נושא | מה לבדוק | סיכון בהתעלמות |
|---|---|---|
| תוקף HTTPS | כל מארח רלוונטי מגיש חיבור תקין | חסימת גישה עם שגיאת תעודה |
| תתי-דומיין | שירותים קיימים ומתוכננים | הרחבת דרישה למערכת לא מוכנה |
| משך | יכולת תחזוקה והתאוששות | מדיניות נשארת אצל משתמשים |
| Preload | תהליך רשמי ותחולה | הנחה שהוספה או הסרה מיידיות |
למה ביטול אינו תמיד מיידי
הפסקת שליחת הכותרת אינה מוחקת מיד מדיניות שנשמרה. מנגנון העדכון בדפדפן דורש התנהגות תקינה של השירות, ו-preload מוסיף תהליך נפרד. לכן אין להבטיח שתקלה תיעלם בכל הלקוחות ברגע שהערך הוסר בממשק.
מכינים דרך תיקון HTTPS ושומרים אחריות ברורה על תעודות ותתי-דומיין. לא מציעים למשתמשים לבטל הגנות דפדפן כפתרון תחזוקה שגרתי. במצב תקלה מבררים איזו מדיניות חלה בפועל ואיזה חיבור נכשל.
דוגמה: תת-דומיין ישן נשאר ללא HTTPS
התרחיש להמחשה. האתר הראשי תקין, אבל כלי פנימי בתת-דומיין עדיין תלוי ב-HTTP. הרחבת מדיניות לכל תתי-הדומיין בלי מיפוי עלולה לפגוע בגישה אליו. בדיקת העמוד הראשי לבדה לא הייתה מספיקה לקבלת ההחלטה.
אחראי המערכת ממפה את הכלי, בוחן תמיכה ופתרון מתאים ומגדיר מדיניות רק בהיקף שנבדק. אם ספק חיצוני מנהל את השירות, מתאמים איתו במקום לשנות הגדרה רחבה ולגלות את התלות לאחר הפגיעה.
איך משלבים HSTS בשיפור אבטחה אחראי
רשמו מה נבדק, אילו שמות נכנסים לתחולה ומי שומר על החיבור תקין לאורך זמן. עבדו לפי תיעוד הספק והדפדפנים, ובצעו שינוי בהיקף מאושר עם בדיקות תפקוד. אין ערך max-age אחד שמתאים אוטומטית לכל עסק ולכל שלב מעבר.
HSTS אינו קובע שהאתר אמין, אינו מסיר נוזקה ואינו מצמצם הרשאות מנהלים. הוא שכבה אחת לצד תעודות, ניהול גישה, עדכונים והתאוששות. מדריך אזהרת התעודה מסביר את אבחון התקלה; ערך זה מסביר את המדיניות והשלכותיה.