Sivusto ei lähetä HSTS-otsaketta, joka käskee selaimia käyttämään sivustolla aina HTTPS:ää. Ilman sitä kävijän ensimmäinen pyyntö voi kulkea pelkän HTTP:n kautta, jolloin se voidaan siepata, esimerkiksi julkisessa Wi-Fi-verkossa.
Mitä se tarkoittaa
HSTS (HTTP Strict Transport Security) on vastausotsake, kuten Strict-Transport-Security: max-age=31536000. Kun selain on nähnyt sen, se käyttää sivustolla HTTPS:ää niin monen sekunnin ajan, vaikka joku kirjoittaisi tai klikkaisi http://-osoitteen.
Mikä sen laukaisee
Kerran viikossa Tietoturvaotsakkeet-tarkistus lataa etusivun HTTPS:n kautta. Jos siinä ei ole Strict-Transport-Security-otsaketta, jonka max-age on suurempi kuin nolla, luodaan tämä Keskitaso-tason ongelma. Se näkyy sovelluksessa, eikä siitä lähetetä sähköpostia.
HSTS on myös yksi tietoturvaotsakkeiden arvosanan kuudesta otsakkeesta. Katso Heikot tietoturvaotsakkeet.
Yleiset syyt
- Verkkopalvelin, hosting-paketti tai CDN ei lähetä sitä oletuksena.
- Se jätettiin pois, kun sivusto siirtyi HTTPS:ään, eikä sitä koskaan lisätty.
- Se lähetetään arvolla max-age=0, mikä poistaa HSTS:n käytöstä.
Miten se korjataan
- Varmista, että koko sivusto toimii HTTPS:llä ja että pelkkä HTTP ohjaa siihen. Katso HTTPS ei ole määritetty oikein.
- Lisää Strict-Transport-Security: max-age=31536000 verkkopalvelimen, CDN:n tai hosting-palvelun asetuksiin. Esimerkiksi Cloudflaressa se on kohdassa SSL/TLS → Edge Certificates.
- Lisää includeSubDomains tai preload vasta, kun jokainen aliverkkotunnus toimii HTTPS:llä, koska selaimet kieltäytyvät silloin pelkästä HTTP:stä myös niiden kohdalla, ja esilatauksen peruminen on vaikeaa.
Milloin se poistuu
Tarkistus ajetaan viikoittain, joten ongelma katoaa seuraavassa viikkotarkistuksessa, joka ei enää löydä ongelmaa, ja sen toimenpide poistuu toimintasuunnitelmasta 7 päivää myöhemmin.
Jos merkitset toimenpiteen valmiiksi ja ongelma löytyy yhä 14 päivää myöhemmin, se palaa tilassa ”Korjaus ei toiminut”. Katso Toimintasuunnitelman käyttäminen.