מדריך · 3 דקות קריאה
HSTS, צעד אחר צעד
HTTP Strict Transport Security אומרת לדפדפנים להשתמש תמיד ב-HTTPS באתר שלכם, וכך עוצרת מתקפות שנמוך וגניבת עוגיות ברשתות Wi-Fi ציבוריות. ההשפעה שלה נשמרת לאורך זמן, ולכן מפעילים אותה בשלבים.
הקוד וההגדרות נשארים באנגלית.
לפני שמתחילים
- כל דף חייב לעבוד ב-HTTPS, ו-
http://חייב להפנות ל-https://באותו מארח. - אם תשתמשו ב-
includeSubDomains, גם לכל תת-דומיין (אימייל, חנות, סביבת בדיקות) חייבת להיות תעודה תקפה.
שלב 1: חמש דקות
nginx
add_header Strict-Transport-Security "max-age=300" always;שלב 2: שנה, כולל תת-דומיינים
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;.htaccess
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"ב-Cloudflare: SSL/TLS → Edge Certificates → HTTP Strict Transport Security (HSTS).
שלב 3 (רשות): preload
preload מטמיע את ה-HSTS בתוך הדפדפנים. hstspreload.org דורש max-age של שנה לפחות, includeSubDomains ואת הסימון preload. ההסרה לוקחת חודשים, אז עשו preload רק כשאתם בטוחים שכל תת-דומיין יישאר ב-HTTPS.
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;