HSTS
HSTS는 웹사이트가 브라우저에 내리는 지시로, 첫 방문 이후에는 일반 http가 아닌 암호화된 HTTPS로만 접속하게 합니다.
HSTS란?
HSTS는 HTTP Strict Transport Security의 약자입니다. 웹사이트가 브라우저에 보내는 정보로, 정확히는 Strict-Transport-Security라는 헤더입니다. 브라우저에게 앞으로는 암호화된 HTTPS로만 열라고 알려 줍니다. 사이트 운영자가 정한 기간 동안에는 주소를 http://로 입력하거나 오래된 링크가 http://를 가리키더라도 페이지가 암호화되지 않은 http://로 불러와지지 않습니다.
작동 방식과 중요한 이유
사이트가 HTTPS를 제공하더라도 가장 첫 요청은 암호화되지 않은 채로 시작되는 경우가 많습니다. 예를 들어 https://를 붙이지 않고 이름만 입력할 때입니다. 사이트는 보통 이후에 HTTPS로 넘겨 주지만, 공공 와이파이처럼 믿을 수 없는 네트워크에서는 이 첫 단계를 가로채거나 다른 곳으로 돌릴 수 있습니다. HSTS는 이 틈을 막습니다. 첫 방문 뒤에 브라우저가 규칙을 기억하고, 먼저 묻지 않고 스스로 HTTPS로 전환합니다.
주의할 점
HSTS는 첫 방문이 성공한 뒤에야, 그리고 운영자가 정한 기간 동안만 효력이 있습니다. 웹사이트로의 암호화된 연결은 보장하지만, 사이트 자체를 믿을 수 있는지에 대해서는 아무것도 말해 주지 않습니다. 사기 사이트도 HTTPS를 쓸 수 있기 때문입니다. 그러니 계속 주소를 확인하고 메시지 속 링크를 조심하세요. HSTS는 피싱을 막아 주지 않습니다. HSTS를 쓰는 사이트에서 브라우저가 인증서 경고를 띄우면 보통은 그냥 클릭해서 넘어갈 수 없습니다. 의도된 동작입니다.
Friendstime에서는
friendsti.me는 모든 하위 도메인을 포함해 유효 기간 2년으로 HSTS 헤더(Strict-Transport-Security)를 보냅니다. http://로 friendsti.me를 열면 https://로 연결됩니다. 그 결과 첫 방문 이후에는 http://를 입력하거나 오래된 링크를 따라가도 Friendstime과의 연결은 항상 암호화(TLS)됩니다.
자주 묻는 질문
HTTPS와 HSTS의 차이는 무엇인가요?
HTTPS는 암호화된 연결 자체입니다. HSTS는 앞으로 웹사이트를 HTTPS로만 열라고 브라우저에 알리는 지시입니다. 따라서 HSTS는 HTTPS를 대체하는 것이 아니라 HTTPS가 실제로 쓰이도록 보장합니다.
Friendstime에도 HSTS가 적용되나요?
네. friendsti.me는 모든 하위 도메인을 포함해 유효 기간 2년의 HSTS 헤더를 보내며, http://로 들어온 요청을 https://로 넘겨 줍니다. 그래서 첫 방문 이후에는 연결이 항상 암호화(TLS)됩니다.
HSTS가 피싱으로부터 나를 보호해 주나요?
아니요. HSTS는 해당 웹사이트로의 암호화된 연결만 보장합니다. 가짜 사이트도 HTTPS를 쓸 수 있습니다. 그러니 주소를 확인하고 메시지 속 링크를 조심하세요.
관련 용어
관련 주제
Friendstime 사용해 보기
가입은 1분이면 충분하며 무료입니다.