Требуется ли изменение только в коде веб-приложения для поддержки HSTS?

Question

Если я хочу, чтобы клиент всегда использовал HTTP-соединение, мне нужно только включать заголовки в код приложения или мне также нужно внести изменения на сервере?Кроме того, чем это отличается от простого перенаправления пользователя на страницу HTTP каждый раз, когда он пытается использовать HTTP?

Answer 1

Если у вас просто перенаправления HTTP -> HTTPS, клиент все равно может попытаться отправить вам конфиденциальные данные (или получить URL, содержащий конфиденциальные данные) - это сделает его открытым для общественности.Если бы он знал, что ваш сайт был HSTS, то он даже не попытался бы получить доступ к нему через HTTP, и, таким образом, раскрытие было исключено.Это довольно маленькая победа IMO - большие риски связаны с огромным количеством корневых ЦС, которым все слепо доверяют благодаря политикам Microsoft, Mozilla, Opera и Google.