Как браузер узнает и запоминает правило
Заголовок Strict-Transport-Security передается в защищенном ответе. После получения браузер запоминает политику для имени и применяет ее к будущим обращениям в своей области. Это отличается от обычного перенаправления HTTP на HTTPS: поведение может начаться еще до обращения по незащищенному адресу.
В параметре max-age указан срок памяти правила. Браузер, который еще не получил политику и не знает имя через preload, находится в другом состоянии. Поэтому один браузер может вести себя иначе, чем другой, даже при одинаковой текущей конфигурации сервера.
MDN описывает механизм, обновление срока и область. Для бизнеса важен практический вывод: изменение заголовка не является единственным состоянием системы. Нужно понимать уже сохраненные политики посетителей и отдельные решения по предварительным спискам.
Имя, поддомены и preload имеют разную область
includeSubDomains распространяет соответствующее правило на поддомены охваченного имени. Это может затронуть старые сервисы и будущие имена, которыми управляют разные люди. Перед расширением соберите реестр, владельцев и готовность HTTPS, а не ориентируйтесь только на основной сайт.
Preload связан с предварительным списком в поддерживающих браузерах. Добавить слово preload в ответ недостаточно, чтобы утверждать фактическое включение и поддержку у всех клиентов. Условия приема, распространение и удаление проверяют отдельно по актуальному процессу.
Каждый поддомен также может иметь собственную запомненную политику. Изменение родительского правила не гарантирует удаления независимых состояний. Поэтому план возврата должен учитывать иерархию имен, уже примененные настройки и доступность защищенного ответа.
Карта готовности перед расширением политики
Следующая таблица является рабочим шаблоном CyberFixCrew для согласования области. Она не предлагает готовую максимальную строку для любого сервера. Значения и порядок изменения выбирают по фактическим именам, сертификатам и зависимостям.
Полезно отделить подтвержденную готовность от неизвестного. Если поддомен принадлежит старой интеграции и его владелец не найден, это открытая задача перед расширением. Зеленая оценка сканера основного адреса не закрывает остальные имена.
| Решение | Что подтвердить заранее | Граница восстановления |
|---|---|---|
| Правило для имени | HTTPS и рабочие сценарии этого узла | Нужен корректный защищенный ответ |
| Срок памяти | Последствия сохраненного состояния | Ожидание и обновление у клиентов различаются |
| Поддомены | Инвентарь имен и готовые сертификаты | Собственные политики могут сохраняться |
| Preload | Актуальные условия и явное согласование | Удаление из списков не мгновенное |
| Продление | Владелец и работоспособность обновления | Политика не выпускает сертификаты |
| Приемка | Новый и известный браузеру маршрут | Один клиент не показывает все состояния |
Почему удаление заголовка не означает мгновенный возврат
Если сервер перестал отправлять HSTS, браузер может сохранять ранее полученное правило до истечения. MDN описывает отключение через max-age=0 в защищенном ответе. Но клиент должен получить этот ответ, а отдельные политики и предварительные списки имеют свои условия.
Если HTTPS уже сломан, рассчитывать только на HTTP-ответ для снятия политики нельзя. Поэтому готовность сертификатов, альтернативного управления и процедуры восстановления проверяют до усиления. Иначе попытка быстрого улучшения оценки может сделать отказ сложнее для исправления.
Условный пример: родительское имя включило политику с поддоменами, а старый сервис не готов к HTTPS. Основной сайт работает, но часть посетителей теряет доступ к сервису. Пример вымышленный: заголовки и списки реального домена не изменялись.
Как проверять без универсальной строки настройки
Согласуйте реестр имен, владельца ответа, исходную конфигурацию и критерии остановки. Заголовок может задаваться приложением, сервером или прокси; дубли и разные значения требуют разбора фактического ответа. Проверьте соответствующие адреса и условия браузера.
После изменения проверяют нужные страницы, вход, формы и интеграции с учетом согласованной области. Используйте разрешенную среду и учебные данные. Сброс собственной локальной памяти браузера не является доказательством, что состояние исчезло у всех посетителей.
OWASP рассматривает HSTS среди защитных заголовков. Его присутствие полезно в своей задаче, но не отменяет проверку приложения и других соединений. Не нужно включать каждый возможный параметр ради общего балла без оценки зависимостей.
- Определить охватываемые имена и владельцев.
- Подтвердить HTTPS, продление и рабочие сценарии.
- Согласовать срок, поддомены и preload как отдельные решения.
- Подготовить приемку, остановку и восстановление.
- Записать фактический ответ и пределы клиентской проверки.
Как связать HSTS с поддержкой бизнеса
Назначьте владельца сертификатов и пересмотра политики при добавлении поддомена, смене прокси и переносе сервиса. Сохраните сведения о принятых решениях и известных ограничениях. Правило продолжает влиять на клиентов после завершения работы подрядчика.
CyberFixCrew является израильской компанией и помогает русскоязычным бизнесам по всему миру с безопасностью сайтов и цифровой инфраструктуры. Практические израильские знания применяются к связке имен, сертификатов, браузера и приемки. Область согласуется заранее; мгновенный глобальный возврат и универсальная безопасность сайта не обещаются.