HSTS
HSTS — это указание сайта браузеру: с первого посещения подключаться к нему только по зашифрованному HTTPS, а не по обычному http.
Что такое HSTS?
HSTS расшифровывается как HTTP Strict Transport Security. Это информация, которую сайт отправляет твоему браузеру, а именно заголовок под названием Strict-Transport-Security. Он говорит браузеру: отныне открывай меня только по зашифрованному HTTPS. В течение срока, заданного оператором сайта, страница больше не загружается по незашифрованному http://, даже если ты введёшь адрес так или старая ссылка ведёт именно туда.
Как это работает и почему это важно
Даже если сайт поддерживает HTTPS, самый первый запрос часто идёт без шифрования, например когда ты вводишь только название без https://. Затем сайт обычно перенаправляет на HTTPS, но этот первый шаг в ненадёжных сетях, таких как открытый Wi-Fi, можно перехватить или перенаправить. HSTS закрывает эту брешь: после первого посещения браузер запоминает правило и сам переключается на HTTPS, не спрашивая.
На что обратить внимание
HSTS начинает действовать только после первого успешного посещения и только на срок, указанный оператором. Он обеспечивает зашифрованное соединение с сайтом, но ничего не говорит о том, можно ли доверять самому сайту: мошеннические сайты тоже могут использовать HTTPS. Поэтому и дальше проверяй адрес и будь осторожен со ссылками в сообщениях, ведь HSTS не останавливает фишинг. Если браузер показывает предупреждение о сертификате на сайте с HSTS, его обычно нельзя просто закрыть щелчком — так и задумано.
В Friendstime
friendsti.me отправляет заголовок HSTS, Strict-Transport-Security, со сроком действия два года, включая все поддомены. Если открыть friendsti.me через http://, произойдёт перенаправление на https://. В результате после твоего первого посещения соединение с Friendstime всегда зашифровано (TLS), даже если ты введёшь http:// или перейдёшь по старой ссылке.
Часто задаваемые вопросы
Чем HTTPS отличается от HSTS?
HTTPS — это само зашифрованное соединение. HSTS — это указание браузеру в дальнейшем открывать сайт только по HTTPS. Так что HSTS не заменяет HTTPS, а следит за тем, чтобы HTTPS действительно использовался.
Применяется ли HSTS в Friendstime?
Да. friendsti.me отправляет заголовок HSTS со сроком действия два года, включая все поддомены, и перенаправляет запросы через http:// на https://. После твоего первого посещения соединение поэтому всегда зашифровано (TLS).
Защищает ли HSTS от фишинга?
Нет. HSTS обеспечивает лишь зашифрованное соединение с соответствующим сайтом. Поддельный сайт всё равно может использовать HTTPS. Поэтому проверяй адрес и будь осторожен со ссылками в сообщениях.
Связанные термины
Связанные темы
Попробуй Friendstime
Регистрация занимает минуту и бесплатна.