http - 网页安全 - http、https、hsts

Question

我有网络服务器 IIS，我可以直接访问像（page.com）这样的页面，这就是我允许 HTTP（端口 80）然后我使用 HTTPS（端口 443）的原因。当用户在端口 80 ( ) 上进入页面时page.com，他将被重定向到 HTTPS (443)。所以我的网络服务器使用带有长 max-age 参数的 HSTS（防御ssl strip）。

我的页面以这种方式使用 HSTS 标头是否安全？如果没有，我该怎么办？

非常感谢！

标签： httpsecurityhttpshsts

Answer 1

与往常一样，这个问题是针对什么安全的？在使用 HSTS 的第一次响应之后（以及在它过期之前）保护 ssl strip ？是的。在第一个请求（或 HSTS 过期后的第一个请求）上防止 ssl 剥离？不会。是否能抵御一系列不同的攻击？不一定（第一次请求时的 dns 劫持、公司 ssl 检查、客户端中的流氓根证书、恶意软件......列表是无穷无尽的）。

你能让它更安全吗？是的，通过完全禁用纯 http。这在你的场景中有意义吗？只有你能说出来。