Mikä on HSTS ja kuinka se voidaan aktivoida?

HSTS (HTTP Strict Transport Security) on verkkoturvamekanismi, joka auttaa suojaamaan verkkosivustoja "alennusprotokolla" ja "evästeiden kaappaaminen" hyökkäyksiltä. Käyttämällä HSTS:tä verkkopalvelin ilmoittaa verkkoselaimille, että sivustoilla, joilla tämä mekanismi on käytössä, yhteyden on tapahduttava vain HTTPS:n kautta eikä koskaan HTTP:n kautta, ja HTTP:n kautta tehdyt pyynnöt jätetään huomiotta.

Koska ensimmäisellä kerralla, kun verkkokäyttäjä yhdistää verkkosivustoon, hän ei vielä tiedä, tapahtuuko yhteys HTTP:n vai HTTPS:n kautta, ja odottaa ohjeita verkkopalvelimelta, on edelleen mahdollisuus, että viestintä voitaisiin siepata. Tämän riskin eliminoimiseksi, HSTS:n aktivoimisen jälkeen verkkotunnus voidaan lisätä "esilataus" -listalle. Näin ollen verkkotunnuksen nimi syötetään verkkoselaimeen toimimaan vain HTTPS:n kautta.

Huomio: Kun se lisätään "ennakkokuormitus" -listalle, verkkosivusto ei enää toimi HTTP:ssä, vaan vain HTTPS:ssä.

Lisätietoja "esilatauksesta" ja verkkotunnuksen lisäämisestä tai poistamisesta näiltä listoilta löytyy osoitteesta: https://hstspreload.org/.

Esimerkki HSTS-toteutuksesta Apache-verkkopalvelimen .htaccess-tiedostossa:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"