Witryna nie wysyła nagłówka HSTS, który mówi przeglądarkom, by zawsze używały dla niej HTTPS. Bez niego pierwsze żądanie odwiedzającego może pójść przez zwykłe HTTP, gdzie można je przechwycić, np. w publicznej sieci Wi-Fi.
Co to oznacza
HSTS (HTTP Strict Transport Security) to nagłówek odpowiedzi, np. Strict-Transport-Security: max-age=31536000. Gdy przeglądarka go zobaczy, przez podaną liczbę sekund używa dla witryny HTTPS, nawet gdy ktoś wpisze lub kliknie adres http://.
Co to wywołuje
Raz w tygodniu sprawdzenie Nagłówki zabezpieczeń ładuje stronę główną przez HTTPS. Jeśli nie ma ona nagłówka Strict-Transport-Security z max-age większym od zera, zgłaszany jest ten problem o wadze Średni. Widać go w aplikacji i nie jest wysyłany e-mailem.
HSTS to także jeden z sześciu nagłówków w ocenie nagłówków zabezpieczeń. Zobacz Słabe nagłówki zabezpieczeń.
Częste przyczyny
- Serwer WWW, plan hostingowy lub CDN domyślnie go nie wysyła.
- Pominięto go przy przejściu witryny na HTTPS i nigdy nie dodano.
- Jest wysyłany z max-age=0, co wyłącza HSTS.
Jak to naprawić
- Upewnij się, że cała witryna działa przez HTTPS, a zwykłe HTTP na niego przekierowuje. Zobacz HTTPS nie jest poprawnie skonfigurowany.
- Dodaj Strict-Transport-Security: max-age=31536000 w ustawieniach serwera WWW, CDN lub hostingu. W Cloudflare znajdziesz to na przykład w SSL/TLS → Edge Certificates.
- Dodawaj includeSubDomains lub preload dopiero wtedy, gdy każda subdomena działa przez HTTPS, bo przeglądarki zaczną odmawiać zwykłego HTTP także dla nich, a preload trudno cofnąć.
Kiedy problem znika
Sprawdzenie odbywa się co tydzień, więc problem znika przy następnym cotygodniowym sprawdzeniu, które go już nie wykryje, a jego działanie znika z planu działań 7 dni później.
Jeśli oznaczysz działanie jako gotowe, a problem nadal będzie wykrywany 14 dni później, wróci jako „Poprawka nie zadziałała”. Zobacz Korzystanie z planu działań.