Як встановити заголовок HSTS із .htaccess лише на HTTPS [закрито]

Мій веб-додаток працює на різній кількості хостів, якими я керую. Щоб уникнути необхідності змінювати конфігурацію Apache кожного vhost, я додаю більшу частину конфігурації, використовуючи файли .htaccess у своєму репо, тому основне налаштування кожного хосту - це лише кілька рядків. Це також дає можливість змінити конфігурацію при розгортанні нової версії. В даний час .htaccess (un) встановлює заголовки, робить деякі переписування магії та контролює кешування UA.

Я хочу увімкнути HSTS у програмі за допомогою .htaccess. Просто встановити заголовок просто:

Header always set Strict-Transport-Security "max-age=31536000"

Але в специфікації чітко зазначено: "Хост HSTS НЕ ПОВИНЕН включати поле заголовка STS у відповіді HTTP, що передаються через незахищений транспорт.". Тому я не хочу надсилати заголовок, надсилаючи його через з'єднання HTTP. Див. Http://tools.ietf.org/html/draft-ietf-websec-strict-transport-sec-14 .

Я намагався встановити заголовок, використовуючи середовище vars, але я там застряг. Той, хто знає, як це зробити?

Очевидно, є доступна змінна середовища HTTPS, яку можна легко використовувати. Для людей з тим самим питанням:

Header set Strict-Transport-Security "max-age=31536000" env=HTTPS

Щоб спиратися на відповідь nielsr, я використав наступне в .htaccess, щоб задовольнити рекомендації щодо безпечного розгортання на https://hstspreload.org, що дозволить жорстко закодувати домен у браузері Chrome. Майте на увазі, що це буде застосовувати HSTS для всіх ваших субдоменів, і що включення до списку попереднього завантаження не можна легко скасувати, тому rtfm.

<IfModule mod_headers.c>
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS
</IfModule>

Ви можете використовувати це та розмістити у своєму файлі htaccess, щоб відповідати https://hstspreload.org . помістіть це у свій файл .htaccess.

RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/$1 [R=301,L,E=HTTPS:1]
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS

по-перше, він зробить переспрямування для не https на https. і перенаправити не-https https на www https із заголовком HSTS.

( http://example.com -> https://example.com -> https://www.example.com - із заголовком HSTS)

Перевірено та відповідає https://hstspreload.org

Для httpd.conf(якщо у вас є доступ для редагування цього) ви можете використовувати

<VirtualHost 65.81.122.43:443>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubdomains;"
</VirtualHost>

ПРИМІТКА. Вам потрібно встановити його лише на HTTPS vhost, а не на http vhost.

Коли слід, і чи не слід використовувати файли .htaccess?

Дозвіл .htaccess файлів змусить Apache шукати їх при кожному доступі до вашого сервера. Оскільки батьківські каталоги також шукаються, це займе деякий (невеликий) час і може вплинути на продуктивність вашого сервера. Джерело

Ще однією альтернативою є завжди встановлювати заголовок і умовно видаляти його для не-ssl-з'єднань:

Header always set   Strict-Transport-Security "max-age=31536000" early
Header        unset Strict-Transport-Security env=!HTTPS

Це має ту перевагу, що Header директиву можна використовувати як з envумовою, так і з earlyпрапором. Завдяки одній Headerдирективі envта earlyне можуть використовуватися разом, вони взаємовиключні (див. Офіційну документацію: https://httpd.apache.org/docs/current/mod/mod_headers.html#header ).