Guia · 3 min de leitura
HSTS, passo a passo
O HTTP Strict Transport Security diz aos navegadores para usar sempre HTTPS no seu site, o que impede ataques de downgrade e roubo de cookies em Wi-Fi público. Ele é persistente, então ative em etapas.
O código e a configuração ficam em inglês.
Antes de começar
- Todas as páginas precisam funcionar por HTTPS, e
http://precisa redirecionar parahttps://no mesmo host. - Se você for usar
includeSubDomains, todos os subdomínios (e-mail, loja, homologação) também precisam de um certificado válido.
Etapa 1: cinco minutos
nginx
add_header Strict-Transport-Security "max-age=300" always;Etapa 2: um ano, com subdomínios
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;.htaccess
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"No Cloudflare: SSL/TLS → Edge Certificates → HTTP Strict Transport Security (HSTS).
Etapa 3 (opcional): preload
O preload embute o HSTS nos navegadores. O hstspreload.org exige um max-age de pelo menos um ano, includeSubDomains e o token preload. A remoção leva meses, então só faça o preload quando tiver certeza de que todos os subdomínios vão continuar em HTTPS.
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;