HSTS
HSTS · HTTP Strict Transport Security · Strict-Transport-Security · HSTS preload · liste de préchargement HSTS
En-tête de sécurité par lequel un site demande au navigateur de ne plus s’y connecter qu’en HTTPS, ce qui empêche un attaquant de faire basculer la connexion vers du HTTP non chiffré.
En pratique
Le site envoie l’en-tête Strict-Transport-Security avec une durée, max-age, exprimée en secondes : pendant cette période, le navigateur transforme d’office tout lien HTTP en HTTPS et interdit de passer outre une erreur de certificat. La directive includeSubDomains étend la règle à tous les sous-domaines. Reste la toute première visite, que couvre la liste de préchargement intégrée aux navigateurs (hstspreload.org) : il faut pour y entrer un max-age d’au moins un an (31 536 000 secondes), includeSubDomains et la directive preload. En sortir prend du temps : vérifiez d’abord que tous vos sous-domaines fonctionnent en HTTPS.
Cas fictif : sur le Wi-Fi d’un hôtel, un attaquant intercepte la première requête HTTP d’un client vers le site de sa banque pour le maintenir en HTTP. Le domaine étant préchargé HSTS, le navigateur ne fait jamais cette requête en clair et l’attaque échoue.
Comment s’en protéger
- Commencer par un max-age court, vérifier, puis passer à un an ou plus.
- Ajouter includeSubDomains une fois tous les sous-domaines servis en HTTPS.
- Inscrire les domaines principaux sur la liste de préchargement.
