O site não envia o cabeçalho HSTS, que diz aos navegadores para sempre usarem HTTPS com ele. Sem isso, a primeira requisição de um visitante pode ir via HTTP simples, onde pode ser interceptada, por exemplo em um Wi-Fi público.
O que significa
O HSTS (HTTP Strict Transport Security) é um cabeçalho de resposta como Strict-Transport-Security: max-age=31536000. Depois que um navegador o vê, ele usa HTTPS para o site durante esse número de segundos, mesmo quando alguém digita ou clica em um endereço http://.
O que o aciona
Uma vez por semana, a verificação Cabeçalhos de segurança carrega a página inicial via HTTPS. Se ela não tiver um cabeçalho Strict-Transport-Security com max-age acima de zero, este problema de gravidade Média é gerado. Ele aparece no app e não é enviado por e-mail.
O HSTS também é um dos seis cabeçalhos da nota de cabeçalhos de segurança. Veja Cabeçalhos de segurança fracos.
Causas comuns
- O servidor web, o plano de hospedagem ou a CDN não o envia por padrão.
- Ficou de fora quando o site migrou para HTTPS e nunca foi adicionado.
- Ele é enviado com max-age=0, o que desativa o HSTS.
Como corrigir
- Garanta que o site inteiro funcione em HTTPS e que o HTTP simples redirecione para ele. Veja HTTPS não configurado corretamente.
- Adicione Strict-Transport-Security: max-age=31536000 no seu servidor web, CDN ou nas configurações de hospedagem. Na Cloudflare, por exemplo, fica em SSL/TLS → Edge Certificates.
- Só adicione includeSubDomains ou preload quando todos os subdomínios funcionarem em HTTPS, porque os navegadores passarão a recusar HTTP simples para eles também, e o preload é difícil de desfazer.
Quando é resolvido
A verificação roda semanalmente, então o problema some na próxima verificação semanal que não encontrar mais o problema, e a ação dele sai do plano de ação 7 dias depois.
Se você marcar a ação como concluída e o problema ainda for encontrado 14 dias depois, ela volta como “A correção não funcionou”. Veja Usando o plano de ação.