HSTS (HTTP Strict Transport Security) Nedir

HSTS nedir?
HSTS (HTTP Strict Transport Security), HTTPS bağlantılarını ortadaki saldırılara ve oturum kaçırmaya karşı korumak için geliştirilmiş bir güvenlik mekanizmasıdır.

Sitenizin HSTS durumu öğrenmek için HSTS Preload List Submission bu aracı kullanabilirsiniz.

HSTS (HTTP Strict Transport Security), protokol sürüm düşürme saldırısından ve çerez ele geçirilmesinden korunmaya yardımcı olur. HSTS, web sunucularında, ağ cihazlarında, CDN'de uygulanarak yanıt başlığına enjekte edilebilen bir güvenlik politikasıdır. HSTS politikası, tarayıcıya web sitesi içeriğini yalnızca belirli bir süre için güvenli bir bağlantı (HTTPS) aracılığıyla yüklemesi talimatını verir.

Strict-Transport-Security: max-age=31536000

Max-age yönergesi, bir sitenin ne kadar süreyle şifrelenmiş olarak kalması gerektiğini belirtir. İlgili zaman çerçevesi saniye cinsinden tanımlanır. Bu nedenle, maksimum 31.536.000 saniye yani, bir yıllık bir süreye karşılık gelir.

Bir kullanıcı HSTS tarafından korunan bir siteyi ilk kez ziyaret ederse, tarayıcı Strict-Transport-Security başlık alanından aşağıdaki talimatları alır:

• İlgili siteye verilen tüm şifrelenmemiş bağlantılar şifrelenmiş bağlantılara dönüştürülmelidir (http://, https:// olur).
• Bir bağlantının güvenliği, örneğin geçersiz bir sertifika nedeniyle garanti edilemiyorsa, sonlandırılmalıdır. Kullanıcı daha sonra bir hata mesajı görecektir.

Alternatif olarak, HSTS bilgisini alt alanlara genişletme olasılığı vardır. Bu durumda Strict-Transport-Security başlık alanı includeSubDomains direktifine eklenir, bu da tarayıcıya HSTS başlığının yalnızca mevcut ana bilgisayar (örneğin www.example.com) için değil aynı zamanda her alt alan için de nasıl geçerli olduğunu bildirir. ilgili alan adının alt alanları (örneğin blog.example.com veya adserver.example.com için de).

Strict-Transport-Security: max-age=31536000; includeSubDomains

Preload yönergesi, ilk ziyarette ortaya çıkan sorunu çözmek için "önyükleme" denen web sayfalarını vurgulamanıza izin verir.

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Ön yükleme parametresi olmadan, HSTS yalnızca sayfalara gelecekteki ziyaretleri etkiler: bir tarayıcı bir sitenin HSTS başlığındaki bilgileri biliyorsa, sonraki görünümler buna göre uygulanır. Bir siteyi ilk kez görüntülediğinizde bu güvenlik mekanizmasını kullanmazsınız. Bu nedenle, Google ve Mozilla gibi tarayıcı üreticileri, web sayfalarını önyükleme listelerine dahil etme seçeneği sunar. Ön yükleme için kaydedilmiş web sayfaları yalnızca HTTPS aracılığıyla görüntülenebilir. Ön yükleme listeleri, tarayıcı üreticileri tarafından merkezi olarak kontrol edilir ve güncellemeler sırasında kullanıcıların tarayıcısına iletilir.

Bu listelere göz atmak için: Can I use... Support tables for HTML5, CSS3, etc buradan kontrol edebilirsiniz.

Panellerde var bu seçenekte pek bilinmediğinden aktif edilemiyordu bu açıklama gayet iyi oldu