啟用 HSTS 的方法是在 HTTPS 網(wǎng)站中配置 Strict-Transport-Security 響應(yīng)頭，具體操作為：1. Nginx 在 server 塊添加 add_header 指令；2. Apache 在配置文件或 .htaccess 添加 Header 指令；3. IIS 在 web.config 添加 customHeaders；需確保站點(diǎn)已完整支持 HTTPS，參數(shù)包括 max-age（有效期）、includeSubDomains（子域名生效）、preload（預(yù)加載列表），提交到 HSTS Preload 列表前提包括根域名和子域名均支持 HTTPS、有有效證書、根路徑返回 200 響應(yīng)，可通過瀏覽器開發(fā)者工具、SSL Labs Test 或 curl 命令測試是否生效。

啟用 HTTP 嚴(yán)格傳輸安全（HSTS）其實(shí)就是在你的 HTTPS 網(wǎng)站上配置一個(gè)響應(yīng)頭，告訴瀏覽器今后訪問這個(gè)網(wǎng)站必須走 HTTPS，不能用明文的 HTTP。這樣做的好處是防止 SSL 剝離攻擊、強(qiáng)制加密連接，提升安全性。

下面說說怎么在不同場景下正確啟用 HSTS。

如何在 Web 服務(wù)器中配置 HSTS？

主流的 Web 服務(wù)器都支持添加 HSTS 響應(yīng)頭，關(guān)鍵是在響應(yīng)中加入：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

具體操作如下：

• Nginx：在 HTTPS 的 server 塊里加上：

  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

• Apache：在虛擬主機(jī)配置或 .htaccess 中添加：

  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

• IIS：在 web.config 文件的 system.webServer 段落添加：

  <httpProtocol>
    <customHeaders>
      <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload" />
    </customHeaders>
  </httpProtocol>

注意：配置前確保你的站點(diǎn)已經(jīng)完整支持 HTTPS，否則開啟后可能會導(dǎo)致無法訪問。

HSTS 頭字段各參數(shù)的作用

• max-age：指定瀏覽器強(qiáng)制使用 HTTPS 的時(shí)間（單位秒），比如 31536000 秒就是一年。
• includeSubDomains：表示該策略適用于所有子域名。
• preload：允許你將域名提交到瀏覽器內(nèi)置的 HSTS 預(yù)加載列表中，這樣用戶第一次訪問時(shí)也強(qiáng)制 HTTPS。

如果你只是想先測試，可以暫時(shí)不加 preload，等確認(rèn)沒問題再加上。一旦提交到預(yù)加載列表，就不能輕易撤回了。

提交到 HSTS Preload 列表需要注意什么？

如果你想讓你的域名被主流瀏覽器默認(rèn)以 HTTPS 方式加載，就得去 http://ipnx.cn/link/ef96003dff3714cf3720aee9b14503b7 提交申請。

前提條件包括：

• 根域名和所有子域名都必須支持 HTTPS
• 必須有有效的證書
• 必須在根路徑返回 200 的響應(yīng)（用于驗(yàn)證）
• 已經(jīng)正確設(shè)置了 HSTS 響應(yīng)頭，包含 includeSubDomains 和 preload

提交之后，需要等待一段時(shí)間才會被加入 Chrome、Firefox 等瀏覽器的預(yù)加載列表中。

測試 HSTS 是否生效

你可以通過以下方式檢查是否設(shè)置成功：

• 使用瀏覽器開發(fā)者工具（F12），查看響應(yīng)頭中是否有 Strict-Transport-Security
• 用在線工具如 SSL Labs Test 檢查你的網(wǎng)站安全配置
• 嘗試用 curl 命令查看響應(yīng)頭：

  curl -I http://yourdomain.com

  如果看到 HSTS 頭，并且值符合預(yù)期，就說明配置生效了。

  ---

  基本上就這些。配置 HSTS 不復(fù)雜，但容易忽略細(xì)節(jié)，比如誤加 preload 或者沒覆蓋子域名，所以建議逐步來，先測試再上線。

  以上是如何啟用HTTP嚴(yán)格運(yùn)輸安全（HSTS）？的詳細(xì)內(nèi)容。更多信息請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！