Guía · 3 min de lectura
HSTS, paso a paso
HTTP Strict Transport Security indica a los navegadores que usen siempre HTTPS con tu sitio, lo que frena los ataques de degradación y de robo de cookies en redes Wi-Fi públicas. Es persistente, así que actívalo por etapas.
El código y la configuración se mantienen en inglés.
Antes de empezar
- Todas las páginas deben funcionar por HTTPS, y
http://debe redirigir ahttps://en el mismo host. - Si vas a usar
includeSubDomains, todos los subdominios (correo, tienda, staging) también necesitan un certificado válido.
Etapa 1: cinco minutos
nginx
add_header Strict-Transport-Security "max-age=300" always;Etapa 2: un año, con subdominios
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;.htaccess
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"En Cloudflare: SSL/TLS → Edge Certificates → HTTP Strict Transport Security (HSTS).
Etapa 3 (opcional): preload
El preload integra HSTS en los navegadores. hstspreload.org exige un max-age de al menos un año, includeSubDomains y el token preload. Salir de la lista lleva meses, así que solo haz preload cuando estés seguro de que todos los subdominios seguirán en HTTPS.
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;