ВойтиРегистрация

Заголовок HSTS

пошаговая инструкция · Быстро: 5–15 минут

← Все инструкции

1. Что произошло

Специальный заголовок велит браузеру всегда открывать сайт по https.

2. Почему это важно

Остаётся короткое окно, когда подмена сайта возможна. Прямого влияния на позиции нет. После исправления: Дополнительная защита от подмены сайта.

3. На каких страницах обнаружено

Заголовок Strict-Transport-Security в ответе главной страницы по https.

Чтобы увидеть адреса на вашем сайте, откройте инструкцию из отчёта или добавьте домен в адрес: /fix/hsts/ваш-сайт.ru.

4. Как исправить

Шаги

  1. Прежде чем включать, убедитесь, что весь сайт и все его поддомены работают по https: HSTS запретит браузеру открывать их по http.
  2. Начните с небольшого срока (max-age=300 — 5 минут), проверьте сайт, потом увеличьте до 31536000 (год).
  3. Параметр includeSubDomains добавляйте, только если на всех поддоменах есть сертификат. Параметр preload — только когда готовы вносить домен в список браузеров (откат долгий).
WordPress
  1. Заголовок можно добавить на уровне сервера (nginx/Apache — код ниже) или плагином безопасности; в PHP его удобнее отправлять из mu-плагина, чтобы он не пропал при смене темы.
Конструкторы (Tilda, Wix…)
  1. В большинстве конструкторов заголовки не настраиваются. Если нужен HSTS — проверьте раздел «Безопасность» или напишите в поддержку.

5. Готовый код

Замените example.com на свой домен. Перед правкой конфигурации сделайте резервную копию файла.

WordPress

WordPress: mu-plugin wp-content/mu-plugins/hsts.php
<?php
add_action('send_headers', function () {
    if (is_ssl()) header('Strict-Transport-Security: max-age=31536000; includeSubDomains');
});

nginx

nginx (внутри server с ssl)
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Apache

Apache (нужен mod_headers)
<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>

6. Как проверить результат

  1. Команда должна вывести строку со Strict-Transport-Security.
  2. Нажмите «Перепроверить сайт».
Заголовок в ответе
curl -sI https://example.com/ | grep -i strict-transport-security

Чтобы перепроверить сайт, откройте отчёт и нажмите «Проверить заново».