Tôi có thể bật HSTS cho 1 tên miền phụ không

Tôi muốn thực thi HSTS chỉ cho 1 tên miền phụ, nhưng không phải toàn bộ tên miền, điều này có khả thi không?

xxx.yyy.com -> HSTS on
zzz.yyy.com -> HSTS off
    yyy.com -> HSTS off

ssl http https

— tổng doanh thu
nguồn

Đề nghị đọc: Trang Wikipedia và chính RFC . Có mã triển khai cho các máy chủ web khác nhau trong trang Wikipedia và câu trả lời cho câu hỏi của bạn trong RFC .

— Ladadadada

@Ladadadada, ngoại trừ RFC, imo, không đủ rõ ràng về các tên miền. Trong câu hỏi này, tên miền luôn là yyy.com hay sẽ phát hành tiêu đề sts từ xxx.yyy.com chỉ áp dụng cho * .xxx.yyy.com (và do đó coi xxx.yyy.com là "tên miền")?

— bvgheluwe

Đúng.

Gửi Strict-Transport-Securitytiêu đề chỉ cho xxx.yyy.com, và không chỉ định includeSubDomains.
Các trình duyệt xử lý đúng HSTS sẽ chỉ đặt yêu cầu cho tên miền phụ được chỉ định ( xxx.yyy.com) trong trường hợp này.

— voretaq7
nguồn

Tôi chỉ tò mò, những gì sẽ xảy ra nếu Strict-Transport-Securitytrên xxx.yyy.com đã bao gồm includeSubDomains? Điều đó sẽ không chỉ ảnh hưởng *.xxx.yyy.com?

— Aaron Gibralter

@AaronGibralter Đó là sự hiểu biết của tôi (và cách giải thích của tôi về câu hỏi ban đầu là " chỉ dành cho xxx.yyy.com" đó là lý do tại sao tôi nói không đặt includeSubDomains) - Nếu bạn muốn các tên miền phụ xxx.yyy.comcũng thực thi HSTS thì bạn nên đặt includeSubDomainstiêu đề.

— voretaq7

Nếu includeSubDomainscó mặt cho xxx.yyy.comnó cũng sẽ ảnh hưởng *.yyy.com? (tức là nó sẽ bị hỏng zzz.yyy.comnếu không giải trí HTTPS)?

— mg007

Tôi có thể xác nhận điều này. Ngân hàng của tôi có www.bank.com và homebanking.bank.com. Đó là những mục riêng biệt trong danh sách hsts của trình duyệt và được tạo độc lập với nhau. Danh sách hsts của Chrome có thể được tìm kiếm thông qua chrome: // net-internals / # hsts -> "Truy vấn tên miền HSTS / PKP" (lưu ý rằng đó là một tìm kiếm chính xác: "ngân hàng" không mang lại kết quả).

— bvgheluwe