LEARN · HSTS

HSTS (Strict-Transport-Security)

Qué es HSTS, qué max-age usar y cómo activarlo sin romper tu web.

QUÉ ES

HSTS es una cabecera que dice al navegador: «a partir de ahora, conéctate a esta web solo por HTTPS durante X segundos». Así el navegador nunca vuelve a intentar http://.

POR QUÉ IMPORTA

Evita que un atacante en una red (una wifi pública, por ejemplo) degrade la conexión a http:// en la primera petición de cada visita.

ERRORES FRECUENTES

• max-age demasiado corto (se recomienda al menos 6 meses; lo habitual es 1 año).
• Añadir includeSubDomains sin comprobar que todos los subdominios tienen HTTPS.
• Enviarla solo en algunas respuestas.

EJEMPLO

Strict-Transport-Security: max-age=31536000; includeSubDomains

CÓMO LO COMPROBAMOS

• HDR_HSTS v1.0.0 — Que HTTPS se anuncia con HSTS y un max-age de al menos 180 días.