网页安全 - http、https、hsts

Question

我有网络服务器 IIS，我可以直接访问像 (page.com) 这样的页面，这就是我允许 HTTP（端口 80）然后我使用 HTTPS（端口 443）的原因。 当用户在端口 80 (page.com) 上进入页面时，他将被重定向到 HTTPS (443)。所以我的网络服务器使用带有长 max-age 参数的 HSTS（防御ssl strip）。

这样使用 HSTS 标头我的页面是否安全？如果没有，我该怎么办？

非常感谢！

Answer 1

和往常一样，这个问题是针对什么安全的？在使用 HSTS 的第一个响应之后（以及在它过期之前）防止 ssl 剥离 ？是的。在第一个请求（或 HSTS 过期后的第一个请求）上防止 ssl 剥离？否。是否能抵御一系列不同的攻击？不一定（第一次请求时的 dns 劫持、公司 ssl 检查、客户端中的流氓根证书、恶意软件......这个列表是无穷无尽的）。

你能让它更安全吗？是的，通过完全禁用普通 http。这在你的场景中有意义吗？只有你自己知道。