הגדרת HTTP Strict Transport Security (HSTS)

פריצה באמצעות יירוט תעבורת HTTP היא אחת מהתקפות הפשוטות ביותר: תוקף נכנס בין הלקוח לשרת, מוריד את הפרוטוקול ל-HTTP ומיירט עוגיות או מזריק קוד זדוני. לפי SSL Labs, כ-30% מהאתרים עדיין לא מוגנים מפני SSL stripping. מדי יום עשרות אלפי משתמשים מאבדים נתונים סודיים בגלל חיבורי HTTP לא מאובטחים — הנזק הממוצע מאירוע כזה עולה על 500,000 רובל, ובמסחר אלקטרוני גדול יכול להגיע לכמה מיליונים. HSTS פותר את הבעיה הזו עם כותרת אחת. תוך 15 דקות אתם סוגרים פרצה שעולה למשתמשים שלכם בפרטיותם. אנחנו לא רק מגדירים את הכותרת — אנחנו מגדירים HSTS תוך התחשבות בתשתית שלכם, בתת-הדומיינים ובתוכנית המעבר לרשימת ה-preload. לאחר הפעלת HSTS, הדפדפן תמיד יבקש HTTPS, ללא הפניה נוספת, ומפחית את זמן הטעינה ב-300-500 אלפיות השנייה. HSTS אמין פי 10 מהפניה פשוטה — הוא חוסם את ההתקפה לפני שהחיבור נוצר. הטמעת preload נותנת הגנה בלחיצה הראשונה גם למשתמשים חדשים. שמירת כותרת HSTS בדפדפן למשך 365 ימים מבטיחה שגם אם תוקף מיירט את הבקשה הראשונה, הוא לא יכול להוריד את הפרוטוקול — הדפדפן כבר יודע להשתמש ב-HTTPS. צרו קשר לקבלת ייעוץ ותוכנית פריסה מדויקת.

איך HSTS עובד

השרת שולח את הכותרת:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload 

לאחר הביקור הראשון, הדפדפן שומר את ההוראה הזו למשך 365 ימים. כל הבקשות הבאות לדומיין ולתת-הדומיינים שלו מועלות אוטומטית ל-HTTPS לפני שליחתן לרשת — ללא הפניית 301, ללא נסיעה הלוך-חזור לשרת. זה מבטל התקפות man-in-the-middle בשלב המעבר.

למה להפעיל HSTS מוקדם?

ככל שתפעילו את HSTS מוקדם יותר, כך המשתמשים יקבלו הגנה מוקדם יותר. אבל הפעלה עם max-age=31536000 באתר production מיד היא מסוכנת. אם יתברר מאוחר יותר שתעודת ה-SSL לא מכסה תת-דומיין מסוים, המשתמשים לא יוכלו לגשת אליו במשך 365 ימים. לכן, אנחנו מיישמים אסטרטגיה מדורגת.

תוכנית פריסה טיפוסית:

התכנית הזו מונעת נעילת תת-דומיינים ואורכת כחודש להשלמת כל השלבים.

פריסת HSTS שלב אחר שלב

1. התחילו עם max-age=300 על תת-דומיין בדיקה כדי לוודא פעולה תקינה.
2. לאחר שבוע ללא שגיאות, הגדילו את max-age ל-30 ימים.
3. ודאו שכל תת-הדומיינים תומכים ב-HTTPS. הוסיפו includeSubDomains.
4. לאחר שבועיים, עברו ל-max-age=31536000 ושלחו בקשה לרשימת ה-Preload.

המתודולוגיה הזו ממזערת את הסיכון לחסימה.

הגדרה על Nginx

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    # Остальная конфигурация...
}

הפרמטר Strict-Transport-Security: max-age=31536000; includeSubDomains; preload הוא קריטי — בלעדיו, הכותרת לא נשלחת בתגובות שגיאה (4xx, 5xx). אם אתם משתמשים ב-Cloudflare, אפשר להגדיר HSTS דרך לוח הבקרה, אבל אז מאבדים שליטה על הוראת server { listen 443 ssl http2; server_name example.com www.example.com; add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; # Остальная конфигурация... } .

הגדרה על Apache

<VirtualHost *:443>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</VirtualHost>

המודול always חייב להיות מופעל: preload.

מה כלול בהגדרת HSTS סוהר

אנחנו מכינים סט מלא של מסמכים והגדרות:

• בדיקת כל תת-הדומיינים לתמיכה ב-HTTPS (כולל <VirtualHost *:443> Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" </VirtualHost> , mod_headers, a2enmod headers, www)
• הגדרת כותרת עבור Nginx או Apache המותאמת למבנה שלכם
• תוכנית שלב אחר שלב להגדלת cdn עם בקרת ניטור
• סיוע בשליחת בקשה לרשימת ה-HSTS Preload
• בדיקה דרך HSTS Preload Check ודוח פרצות

רשימת HSTS Preload

הבקשה נשלחת ב-hstspreload.org. לאחר הכללה ברשימה, Chrome, Firefox ו-Safari יודעים על דרישת ה-HSTS שלכם עוד לפני הביקור הראשון של המשתמש — זה מספק הגנה "מהלחיצה הראשונה". הסרת דומיין מהרשימה היא הליך ארוך (כמה חודשים), לכן אנחנו ממליצים להפעיל preload רק לאחר ביטחון מלא בתשתית ה-HTTPS שלכם.

דרישות Preload:

• api לפחות 31536000
• mail הוראה
• max-age הוראה
• כל תת-הדומיינים חייבים לתמוך ב-HTTPS

השוואה בין HSTS ל-301 Redirect

HSTS אמין הרבה יותר מבחינת אבטחה ומהיר יותר עבור המשתמש. חיסכון בהפניות ובעומס SSL יכול להגיע עד 30% מעלויות התעבורה. עבור אתר עם 50,000 מבקרים ייחודיים בחודש, זה אומר חיסכון של עד 30,000 רובל בשנה.

כמה זמן לוקחת ההגדרה

הגדרה בסיסית של כותרת אחת — 1-2 שעות כולל בדיקות. מחזור מלא עד סטטוס preload — 2-4 שבועות, עם הגדלה מדורגת של max-age וניטור. לוחות זמנים מדויקים מחושבים לאחר ביקורת על התשתית שלכם — צרו קשר להערכה.

למה לבחור בנו

אנחנו עוסקים באבטחת אינטרנט כבר למעלה מ-8 שנים והגדרנו HSTS ליותר מ-50 פרויקטים, כולל אתרי מסחר אלקטרוני עם מאות תת-דומיינים. אנחנו מבטיחים פעולה תקינה בכל מערכות ה-CMS והפריימוורק הפופולריות. הזמינו ביקורת HSTS עכשיו — קבלו תוכנית פריסה וייעוץ.