HSTS to zaawansowana opcja bezpieczeństwa. Wymusza, aby przeglądarki łączyły się z Twoją stroną wyłącznie po HTTPS, nawet gdy ktoś wpisze adres bez https://. W panelu włączysz ją na karcie HSTS: wymuszanie HTTPS w przeglądarkach (zakładka Bezpieczeństwo → karta Nagłówki HTTP).
HSTS jest trudne do cofnięcia. Zanim włączysz je na dłużej, przeczytaj ostrzeżenia na dole i zacznij od trybu testowego 5 minut.
Jak włączyć HSTS
- Zaloguj się do panel.jdm.pl → Hosting → przy stronie kliknij Zarządzaj → zakładka Bezpieczeństwo → karta Nagłówki HTTP.
- Na górze karty znajdziesz sekcję HSTS: wymuszanie HTTPS w przeglądarkach, nad nagłówkami bezpieczeństwa. HSTS działa tylko przy aktywnym certyfikacie SSL. Jeśli strona go nie ma, panel pokaże odnośnik Uruchom certyfikat SSL.
- Włącz przełącznik Włącz HSTS. Panel otworzy okno Aktywować HSTS? z ustawieniami i ostrzeżeniem.
- Wybierz Czas obowiązywania, czyli jak długo przeglądarki mają pamiętać wymuszenie HTTPS:
- 5 minut (tryb testowy). Od tego zacznij!
- 1 dzień, 1 miesiąc, 6 miesięcy, 1 rok (zalecane), 2 lata.
- W razie potrzeby zaznacz opcje zaawansowane:
- Obejmij subdomeny: wszystkie subdomeny będą musiały działać po HTTPS,
- Zgłoszenie na listę preload (hstspreload.org): domena zostanie na stałe zaszyta w przeglądarkach.
- Zaznacz pole „Rozumiem, że HSTS jest trudne do cofnięcia, i akceptuję ryzyko aktywacji", po czym kliknij Aktywuj HSTS.
- Późniejsze zmiany ustawień zatwierdzasz przyciskiem Zapisz HSTS.
Zacznij od 5 minut
Ustaw najpierw 5 minut (tryb testowy) i przeklikaj całą stronę: podstrony, koszyk, logowanie, subdomeny. Jeśli wszystko działa po HTTPS bez błędów, zwiększ czas do 1 rok (zalecane). Jeśli coś się posypie, po 5 minutach przeglądarki „zapomną" ustawienie i wrócisz do stanu wyjściowego.
Ostrzeżenia, które przeczytaj przed włączeniem
- HSTS jest trudne do cofnięcia. Przeglądarki zapamiętują to ustawienie lokalnie, u każdego odwiedzającego. Po wyłączeniu HSTS w panelu przeglądarki nadal będą wymuszać HTTPS przez cały wybrany czas obowiązywania. Nie da się tego przyspieszyć zdalnie.
- Obejmij subdomeny tylko świadomie. Jeśli jakakolwiek subdomena (np. panel wewnętrzny, subdomena techniczna) nie ma działającego HTTPS, przestanie się otwierać u wszystkich, którzy odwiedzili stronę główną.
- Przed aktywacją upewnij się, że certyfikat jest ważny i strona nie ładuje treści po
http://(mixed content).
Zgłoszenie domeny na listę preload zaszywa ją w kodzie przeglądarek. Usunięcie z listy trwa miesiące. Zgłaszaj tylko domeny, które na pewno na zawsze zostaną na HTTPS.
Najczęstsze problemy
- Nie widzę karty HSTS. Karta pojawia się dopiero po aktywacji certyfikatu SSL w zakładce SSL.
- Wyłączyłem HSTS, ale strona dalej wymusza HTTPS. To normalne. Przeglądarki odwiedzających pamiętają ustawienie przez wybrany wcześniej czas obowiązywania. Musisz poczekać, aż minie.
- Czy HSTS zastępuje przekierowanie na HTTPS? Nie. Najpierw w zakładce Domeny, na karcie Przekierowania, zaznacz Włącz przekierowanie http na https i kliknij Zapisz przekierowania. HSTS jest jego uzupełnieniem dla kolejnych wizyt.