HTTP头部信息 | 严格传输安全策略

HTTP严格传输安全机制（HSTS）这是一种网络安全策略机制，它能够帮助保护网站免受恶意行为的侵害。同时，该机制还会通过响应头信息来告知用户代理和浏览器如何正确处理与网站的连接。 每当一个网站通过HTTP连接后，又重定向到HTTPS时，就存在遭受中间人攻击的可能性。这种重定向行为可能会让用户被引导到恶意网站上去。因为用户首先需要与网站的未加密版本进行通信。 服务器通过HTTPS连接发送一个头部信息来实现HSTS策略。这条头部信息会告诉浏览器，应该使用HTTPS而不是HTTP来加载该网站的内容。语法：

Strict-Transport-Security: max-age=<expire-time>

Strict-Transport-Security: max-age=<expire-time>; includeSubDomains

Strict-Transport-Security: max-age=<expire-time>; preload

指令/指示：

• <过期时间>:这里提到了用户代理或浏览器应仅通过 HTTP 以安全的方式访问服务器的时间，这个时间以秒为单位。
• 包括子域名：这会让浏览器将这条规则应用到该网站的所有页面以及子域名上。
• 预加载：这对于被大多数主流浏览器所支持的 HSTS 预加载列表中包含该域名来说是必要的。

说明：如果用户在地址栏中输入 http://www.spoto.net/ 或 spoto.net 这样的链接，那么就有可能遭到中间人攻击。这种重定向行为可能会被利用，将访问者引导到恶意网站，而不是原始网站的合法版本。例如：

Strict-Transport-Security: max-age=3600; includeSubDomains

所有页面以及子域名都将采用HTTPS协议进行传输，且该协议的有效期最长为1小时。这样，那些无法通过HTTPS方式访问的页面或子域名就无法被访问了。

Strict-Transport-Security: max-age=7200; includeSubDomains; preload

所有当前及未来的子域都将采用HTTPS协议，其过期时间为2小时。此外，该域名还使用了“preload”作为后缀，这在大多数主流浏览器的HSTS预加载列表中是必需的。要验证“Strict-Transport-Security”功能是否正常工作，请访问……检查元素 -> 网络请检查响应头中是否包含“Strict-Transport-Security”这一字段。如上图所示，标有“Strict-Transport-Security”的字段可以被选中。支持的浏览器：以下浏览器与该系统兼容：HTTP Strict-Transport-Security。

• Google Chrome 4.0
• Internet Explorer 11.0
• Firefox 4.0
• Safari 7.0
• Opera 12.0