Verificador de HSTS
Verifique o cabeçalho Strict-Transport-Security que um site envia: se os navegadores o vão aceitar, quanto tempo dura, se abrange subdomínios e se cumpre os requisitos de hstspreload.org.
Começar a verificação
- Verificação não intrusiva
- Elegibilidade para preload HSTS
O que é uma verificação HSTS?
O HTTP Strict Transport Security (HSTS, RFC 6797) é um cabeçalho de resposta que indica aos navegadores que usem apenas HTTPS para um anfitrião durante max-age segundos e também para os seus subdomínios quando inclui includeSubDomains. Uma verificação HSTS obtém o site por HTTPS, lê o cabeçalho e confirma que segue a gramática do RFC 6797, porque os navegadores ignoram por completo um cabeçalho mal formado.
O verificador executa a mesma análise que o Verificador de Cabeçalhos de Segurança, pelo que cada verificação também é guardada como um relatório completo de cabeçalhos de segurança com uma ligação partilhável.
O que o verificador de HSTS indica
O verificador lê o cabeçalho Strict-Transport-Security da resposta HTTPS e analisa-o tal como o RFC 6797 indica aos navegadores.
max-age
Durante quanto tempo, em segundos, os navegadores continuam a usar HTTPS para o anfitrião. Um ano (31536000) é o mínimo para a lista de preload. max-age=0 indica aos navegadores que esqueçam a política.
includeSubDomains
Aplica a política a todos os subdomínios. Verifique se todos os subdomínios servem HTTPS antes de adicionar esta diretiva.
preload
Pede a inclusão na lista de preload dos navegadores. hstspreload.org recomenda HSTS, mas não o preload, porque navegadores como o Chrome e o Safari já atualizam as navegações HTTP para HTTPS e a remoção da lista é lenta.
Sintaxe
max-age é obrigatório e cada diretiva só pode aparecer uma vez. Os navegadores ignoram um cabeçalho que viole estas regras e, quando uma resposta envia vários cabeçalhos HSTS, usam apenas o primeiro.
Requisitos de preload HSTS
hstspreload.org só aceita um domínio se este servir um certificado válido, redirecionar HTTP para HTTPS no mesmo anfitrião, servir todos os subdomínios por HTTPS e enviar um cabeçalho HSTS no domínio base com um max-age de pelo menos 31536000, includeSubDomains e preload. O verificador testa os requisitos que consegue observar e assinala os restantes para que os verifique. hstspreload.org toma a decisão final e não documenta uma API pública, pelo que o verificador não consulta se um domínio já está na lista.
Como funciona a classificação de A+ a F
Um max-age de pelo menos um ano vale 90 pontos, de pelo menos 30 dias 75, de pelo menos um dia 60 e qualquer valor inferior 45. includeSubDomains acrescenta 10. Um cabeçalho em falta ou mal formado, ou max-age=0, vale 0. A diretiva preload não acrescenta nada, porque hstspreload.org não recomenda o preload.
- A+
- 95-100
- A
- 85-94
- B
- 70-84
- C
- 55-69
- D
- 40-54
- F
- 0-39
Verificações relacionadas e próximos passos
- Verificador de Cabeçalhos de Segurança HTTP
Classifique o HSTS juntamente com CSP, X-Frame-Options e mais sete cabeçalhos de resposta.
- Avaliador de CSP
Verifique a Content-Security-Policy que o mesmo site envia.
- Verificador de Cloudflare
Veja se o tráfego do site passa pela Cloudflare.
- Verificação de segurança do site
Uma análise mais abrangente de um site seu, com verificação por e-mail.
Cloudflare gerido
Mantenha a Cloudflare configurada, monitorizada e a melhorar. A Vigilbase trata das alterações acordadas e da resposta a incidentes, com opções de cobertura Core, Priority e Critical.
Explorar Cloudflare geridoSOC gerido
SOC gerido nas ferramentas de segurança que já paga. O agente Vigil investiga, os analistas tratam das exceções e a cobertura segue o seu nível de SLA.
Explorar SOC geridoFontes
Perguntas
Perguntas frequentes sobre o verificador de HSTS
O que é um bom cabeçalho HSTS?
max-age=31536000; includeSubDomains é um objetivo comum quando todos os subdomínios servem HTTPS. O exemplo em hstspreload.org, para sites que optam pelo preload, é max-age=63072000; includeSubDomains; preload.Verificador de Cabeçalhos de Segurança HTTP
Devo incluir o meu domínio na lista de preload?
Só depois de o ponderar cuidadosamente. hstspreload.org indica que o preload HSTS não é recomendado, que uma remoção demora meses a chegar aos utilizadores e que as ferramentas não devem adicionar a diretiva preload por predefinição. O preload abrange todos os subdomínios, incluindo os internos.
Como implemento o HSTS de forma segura?
hstspreload.org sugere verificar se todos os subdomínios funcionam por HTTPS e depois aumentar max-age por fases (5 minutos, 1 semana, 1 mês) com includeSubDomains, aguardar o max-age completo de cada fase e acompanhar eventuais problemas antes de avançar.
Porque é que o verificador indica que o meu cabeçalho é inválido?
O RFC 6797 exige max-age e permite cada diretiva apenas uma vez. Os navegadores ignoram um cabeçalho que viole a gramática, por exemplo um com duas diretivas max-age ou um max-age que não seja um número inteiro de segundos.
O HSTS em www abrange o domínio base?
Não. O HSTS aplica-se ao anfitrião que o enviou e, com includeSubDomains, aos subdomínios desse anfitrião. Defina-o no domínio base para abranger tudo; é também aí que hstspreload.org o verifica.
Um cabeçalho HSTS enviado por HTTP simples conta?
Não. O RFC 6797 indica aos navegadores que ignorem os cabeçalhos HSTS recebidos por HTTP. A política entra em vigor depois de um navegador ter carregado o site por HTTPS uma vez, exceto se o domínio estiver na lista de preload.
