Как безопасно включить HSTS
HSTS заставляет браузеры открывать сайт только по HTTPS. Это повышает безопасность, но неправильная настройка может сделать сайт недоступным для посетителей до окончания действия политики.
Перед включением
- SSL должен корректно работать для домена и www.
- Редирект HTTP на HTTPS должен быть стабильным.
- Все важные поддомены должны поддерживать HTTPS, если используется includeSubDomains.
Безопасный старт
- Начните с короткого max-age, например на несколько часов или один день.
- Не включайте preload сразу.
- Проверьте сайт в разных браузерах.
Когда увеличивать
- Увеличивайте max-age только после стабильной работы сайта.
- includeSubDomains используйте только если все поддомены готовы.
- preload включайте только если полностью понимаете последствия.
Важно: HSTS - сильная настройка. Относитесь к ней как к настройке безопасности, а не просто к редиректу.
Нужна помощь? Если не уверены, какая настройка подходит именно для вашего случая, откройте чат - поможем проверить без лишней спешки.