Guide · 3 min de lecture
HSTS, étape par étape
HTTP Strict Transport Security indique aux navigateurs de n’utiliser que HTTPS pour votre site, ce qui bloque les attaques par rétrogradation et le vol de cookies sur les Wi-Fi publics. Ce réglage est persistant : déployez-le par étapes.
Le code et la configuration restent en anglais.
Avant de commencer
- Chaque page doit fonctionner en HTTPS, et
http://doit rediriger vershttps://sur le même hôte. - Si vous utilisez
includeSubDomains, chaque sous-domaine (mail, boutique, préproduction) doit aussi avoir un certificat valide.
Étape 1 : cinq minutes
nginx
add_header Strict-Transport-Security "max-age=300" always;Étape 2 : un an, avec les sous-domaines
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;.htaccess
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"Sur Cloudflare : SSL/TLS → Edge Certificates → HTTP Strict Transport Security (HSTS).
Étape 3 (facultative) : preload
Le preload intègre HSTS directement dans les navigateurs. hstspreload.org exige un max-age d’au moins un an, includeSubDomains et le jeton preload. Le retrait prend des mois : ne faites le preload que si vous êtes sûr que tous les sous-domaines resteront en HTTPS.
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;