Ce este HSTS și cum poate fi activat?
HSTS (HTTP Strict Transport Security) protegge i siti dagli attacchi forzando le connessioni HTTPS. Scopri come attivarlo e rendere sicuro il tuo dominio!
L'HSTS (HTTP Strict Transport Security) è un meccanismo di sicurezza web che aiuta a proteggere i siti web contro attacchi di "downgrade protocol" e "cookie hijacking". Utilizzando l'HSTS, il server web informa i browser web che nei siti in cui questo meccanismo è abilitato, la connessione deve avvenire solo tramite HTTPS e mai tramite HTTP, con le richieste effettuate tramite HTTP che vengono ignorate.
Poiché alla prima connessione di un client web a un sito, non sa ancora se la connessione avverrà tramite HTTP o HTTPS e attende istruzioni dal server web, c'è ancora la possibilità di un'intercettazione delle comunicazioni. Per eliminare anche questo rischio, dopo l'attivazione di HSTS, il dominio può essere incluso nell'elenco di "pre-caricamento" web. In questo modo, il nome del dominio verrà inserito nel browser web come funzionante solo su HTTPS.
Attenzione: Dopo essere stato aggiunto alla lista "pre-loading", il sito web non funzionerà più su HTTP, ma solo su HTTPS.
Maggiori dettagli riguardo alle liste di "precaricamento" e all'aggiunta o rimozione di un dominio da queste liste possono essere letti visitando: https://hstspreload.org/.
Esempio di implementazione di HSTS nel file .htaccess del server web Apache:
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"