HSTS

HTTP Strict Transport Security ya da HSTS, bir web sitesinin “bundan sonra benimle yalnızca HTTPS üzerinden konuş” demek için gönderdiği bir yanıt başlığıdır. Bir tarayıcı Strict-Transport-Security başlığını gördükten sonra, o alan adı için gelecekteki her http:// bağlantısını ve yazılan adresi, makineden herhangi bir istek çıkmadan önce otomatik olarak https:// adresine yükseltir. Ayrıca kullanıcıların o sitedeki sertifika uyarılarını geçmesini de engeller.

Başlığın, tarayıcıya kuralı ne kadar süre hatırlayacağını söyleyen, saniye cinsinden ve çoğunlukla bir ya da iki yıllık bir max-age değeri ile bunu her alt alan adına uygulayan isteğe bağlı bir includeSubDomains bayrağı vardır. Tarayıcı başlığı yalnızca geçerli bir HTTPS bağlantısı üzerinden geldiğinde kabul eder. İlk ziyaret yine düz HTTP ile gerçekleşebileceğinden tarayıcılar yerleşik bir HSTS preload listesiyle de gelir: gereksinimleri karşılayan ve preload bayrağını ekleyen siteler listeye dahil edilebilir; böylece tarayıcılar onlar için ilk ziyarette bile HTTPS kullanır.

HSTS olmadan example.com yazan bir kullanıcı genellikle önce düz bir HTTP isteği yapar ve sonra HTTPS'e yönlendirilir; aynı herkese açık Wi-Fi'daki bir saldırgan bu ilk isteği yakalayıp kurbanı şifresiz bir bağlantıda tutabilir. Bu tekniğe SSL stripping denir. HSTS bu fırsat penceresini ortadan kaldırır. Bir bankada, büyük para çekme işlemlerinin yalnızca güvenli gişede yapılması gibi kalıcı bir kuraldır: kural dosyalandıktan sonra hiç kimse bir veznedarı kilitsiz yan kapıyı kullanmaya ikna edemez.

HSTS sıklıkla HTTPS'in kendisiyle ya da HTTP'den HTTPS'e yönlendirmeyle karıştırılır. HTTPS şifrelemeyi sağlar, yönlendirme ise güvensiz bir istek zaten yapıldıktan sonra kullanıcıları ona gönderir; HSTS ise tarayıcının o site için HTTP'yi hiç kullanmayı reddetmesini sağlar. includeSubDomains ve preload konusunda dikkatli olun; çünkü bu durumda her alt alan adının HTTPS'i desteklemesi gerekir ve bir siteyi preload listesinden çıkarmak aylar sürer.