Hva er HSTS og hvordan kan det aktiveres?

HSTS (HTTP Strict Transport Security) er en nettverks sikkerhetsmekanisme som bidrar til å beskytte nettsteder mot "nedgradering av protokoll" og "cookie hijacking" angrep. Ved å bruke HSTS informerer webserveren nettlesere om at på nettsteder der denne mekanismen er aktivert, må tilkoblingen skje kun gjennom HTTPS og aldri gjennom HTTP, med forespørslene gjort via HTTP som blir ignorert.

Fordi ved første tilkobling av en nettklient til et nettsted, vet det ennå ikke om tilkoblingen vil skje via HTTP eller HTTPS, og venter på instruksjoner fra webserveren, finnes det fortsatt muligheten for at kommunikasjonen kan bli avlyttet. For å eliminere denne risikoen, kan domenet etter aktivering av HSTS inkluderes i listen over "forhåndslasting" på nettet. Slik vil domenenavnet bli introdusert i nettleseren som kun fungerer på HTTPS.

Vær oppmerksom: Etter å ha blitt lagt til "for-lasting" listen, vil nettstedet ikke lenger fungere på HTTP, men kun på HTTPS.

Mer informasjon om "forhåndsinnlasting" lister og hvordan man legger til eller fjerner et domene fra disse listene kan leses ved å besøke: https://hstspreload.org/.

Eksempel på HSTS-implementering i .htaccess-filen til Apache-webserveren:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"