Cách đặt tiêu đề HSTS từ .htaccess chỉ trên HTTPS [đã đóng]

Ứng dụng web của tôi chạy trên một số máy chủ khác nhau mà tôi kiểm soát. Để tránh phải thay đổi cấu hình Apache của mỗi vhost, tôi thêm hầu hết cấu hình bằng cách sử dụng tệp .htaccess trong kho lưu trữ của mình, vì vậy thiết lập cơ bản của mỗi máy chủ lưu trữ chỉ là một vài dòng. Điều này cũng giúp bạn có thể thay đổi cấu hình khi triển khai phiên bản mới. Hiện tại, .htaccess (un) đặt tiêu đề, thực hiện một số phép thuật viết lại và điều khiển bộ nhớ đệm của UA.

Tôi muốn bật HSTS trong ứng dụng bằng cách sử dụng .htaccess. Chỉ cần đặt tiêu đề là dễ dàng:

Header always set Strict-Transport-Security "max-age=31536000"

Nhưng thông số chỉ rõ: "Máy chủ HSTS KHÔNG ĐƯỢC bao gồm trường tiêu đề STS trong các phản hồi HTTP được truyền tải qua phương thức truyền tải không an toàn.". Vì vậy, tôi không muốn gửi tiêu đề khi gửi nó qua các kết nối HTTP. Xem http://tools.ietf.org/html/draft-ietf-websec-strict-transport-sec-14 .

Tôi đã cố gắng đặt tiêu đề bằng cách sử dụng môi trường vars, nhưng tôi bị mắc kẹt ở đó. Bất cứ ai biết làm thế nào để làm điều đó?

Rõ ràng có sẵn một biến môi trường HTTPS có thể được sử dụng dễ dàng. Đối với những người có cùng câu hỏi:

Header set Strict-Transport-Security "max-age=31536000" env=HTTPS

Để xây dựng câu trả lời của nielsr, tôi đã sử dụng phần sau trong .htaccess để đáp ứng các đề xuất triển khai an toàn tại https://hstspreload.org sẽ mã hóa miền vào trình duyệt Chrome. Hãy lưu ý rằng điều này sẽ thực thi HSTS trên các miền phụ của bạn và việc đưa vào danh sách tải trước không thể hoàn tác dễ dàng, vì vậy rtfm.

<IfModule mod_headers.c>
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS
</IfModule>

Bạn có thể sử dụng điều này và đặt nó vào tệp htaccess của mình để tuân thủ https://hstspreload.org . đặt cái này vào tệp .htaccess của bạn.

RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/$1 [R=301,L,E=HTTPS:1]
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS

đầu tiên, nó sẽ chuyển hướng không phải https sang https. và chuyển hướng không phải www https sang www https với tiêu đề HSTS.

( http://example.com -> https://example.com -> https://www.example.com - với tiêu đề HSTS)

Đã kiểm tra và tuân thủ https://hstspreload.org

Đối với httpd.conf(nếu bạn có quyền truy cập để chỉnh sửa điều này), bạn có thể sử dụng

<VirtualHost 65.81.122.43:443>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubdomains;"
</VirtualHost>

LƯU Ý: Bạn chỉ cần đặt nó trên HTTPS vhost và không thể đặt trên http vhost.

Khi nào tôi nên và không nên sử dụng tệp .htaccess?

Việc cho phép các tệp .htaccess sẽ khiến Apache tìm kiếm chúng sau mỗi lần truy cập vào máy chủ của bạn. Vì thư mục mẹ cũng được tìm kiếm, điều này sẽ mất một khoảng thời gian (nhỏ) và có thể ảnh hưởng đến hiệu suất máy chủ của bạn. Nguồn

Tuy nhiên, một giải pháp thay thế khác là luôn đặt tiêu đề và xóa nó có điều kiện đối với các kết nối không phải ssl:

Header always set   Strict-Transport-Security "max-age=31536000" early
Header        unset Strict-Transport-Security env=!HTTPS

Điều này có ưu điểm là Headerchỉ thị có thể được sử dụng với cả envđiều kiện cũng như earlycờ. Với một Headerchỉ thị duy nhất envvà earlykhông thể được sử dụng cùng nhau, chúng loại trừ lẫn nhau (xem tài liệu chính thức: https://httpd.apache.org/docs/current/mod/mod_headers.html#header ).