什么是 HSTS？HTTP 严格传输安全指南

最后更新于 19 3 月, 2025 由 Dionisie Gitlan

您是否担心过网站访客的数据落入不法分子之手？HTTP 严格传输安全（HSTS）可以减轻您的担忧。它能确保浏览器始终默认使用安全的 HTTPS 连接，从而大大降低网站遭受网络威胁的可能性。

在本文中，您将了解到 HSTS 的确切工作原理、显著优势以及有效实施 HSTS 的实际步骤。我们将共同确保您的网站安全，并赢得所有访问者的信任。

什么是 HSTS？

HTTP 严格传输安全（HSTS）是一种网络安全标准，可确保浏览器始终使用安全的HTTPS 连接访问网站。其主要目的是保护网站和用户免受普遍存在的网络威胁，如中间人（MITM）攻击、SSL 剥离和 Cookie 劫持。

在 HSTS 出现之前，即使网站启用了 HTTPS，用户代理（网络浏览器）最初也可能会尝试通过不安全的HTTP 进行连接，从而产生漏洞。攻击者可以利用这些时机拦截流量、将用户重定向到恶意网站或窃取敏感数据。为了解决这个问题，HSTS 通过一个特殊的标头 “Strict-Transport-Security”（严格传输安全）指示浏览器在第一次安全访问后不再尝试不安全的连接。

实施 HSTS 可消除不安全的重定向并最大限度地减少漏洞，从而改变网站的安全状况。这对于处理敏感用户数据、金融交易或需要遵守法规的网站至关重要。

它于 2012 年通过 RFC 6797 正式推出，并为其应用制定了明确的指导原则。

HSTS 如何工作？

当浏览器通过安全 HTTPS 连接首次访问启用了 HSTS 的网站时，服务器会向浏览器发送一个 HSTS 标头。该标头包含对未来访问的重要指示，规定任何通过HTTP 访问网站的尝试都必须自动重定向到 HTTPS。

HSTS 标头的关键指令是

max-age：该指令定义了浏览器必须记住的强制执行 HTTPS 连接的持续时间（以秒为单位）。典型值可能是一年（31536000秒）。
includeSubDomains：该可选指令可确保策略也适用于所有子域，从而保护整个域结构。
预加载：另一个可选指令，表示你的域名同意被列入浏览器的预加载列表，从第一次访问开始就提供保护。

我们来看一个简单的例子。当浏览器连接到https://example.com 时，服务器的响应可能包括：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

有了这个标头，浏览器就会明白，在一年内，本网站及其所有子域必须始终使用 HTTPS。如果访问者以后尝试通过http://example.com或子域（如http://sub.example.com）进行连接，浏览器会自动将请求转换为 HTTPS，而不会接触到不安全的版本。

HSTS 的一个局限性是，如果不使用 HSTS 预加载，初始连接时可能会出现漏洞。值得庆幸的是，HSTS 预加载通过将域嵌入浏览器内置列表解决了这一问题，即使在首次访问时也能确保安全连接。

实施 HSTS 的好处

实施 HSTS 可为您和您的网站访问者带来诸多好处：

增强安全性：通过强制使用 HTTPS，HSTS 可有效防止中间人 (MITM) 攻击、SSL 剥离、cookie 劫持和协议降级攻击等常见威胁。激活 HSTS 后，攻击者就失去了利用不安全连接的机会，从而为您的整体安全策略增加了一个强大的防御层。
提高用户信任度，改善用户体验：当访问者在浏览器中始终看到安全挂锁图标时，他们会更有信心与您的网站进行交互。这种增强的安全提示可以降低跳出率，提高用户满意度，鼓励用户重复访问，最终建立更牢固的客户关系。
搜索引擎优化优势：谷歌和其他搜索引擎会优先考虑安全网站，这意味着坚持使用 HTTPS 会对网站的在线可见性和可发现性产生积极影响。更好的可见性意味着更多的有机流量，使您的网站领先于未采用严格 HTTPS 标准的竞争对手。
遵守法规：处理敏感数据的企业必须遵守 PCI DSS、GDPR 和 HIPAA 等严格的法规。通过执行安全通信标准和防止潜在的数据泄露，实施 HSTS 对满足这些要求至关重要。

实施 HSTS 的分步指南

请按照以下实用步骤有效实施 HSTS：

1.HTTPS 的准备工作

启用 HSTS 之前，您需要一个有效的SSL/TLS 证书。从 DigiCert、Sectigo 或GeoTrust 等可信的证书颁发机构 (CA) 获取证书。
获取证书后，请在网络服务器上进行正确安装和配置，确保与主要浏览器兼容。
彻底验证网站的 HTTPS 功能，检查所有资源是否安全加载。将内部和外部资源 URL 从 HTTP 更新为 HTTPS，以处理任何混合内容警告。

2.配置 HSTS 标头

设置好 HTTPS 后，在网络服务器上启用 HSTS 标头：

Apache：在.htaccess文件或服务器配置中添加以下内容：

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

重启 Apache 以激活更改。

Nginx：将此插入服务器块：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

重新加载 Nginx 以应用配置。

Microsoft IIS：将其包含在web.config文件中：

<system.webServer> <httpProtocol> <customHeaders> <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload"/> </customHeaders> </httpProtocol> </system.webServer>

保存更改并重新启动 IIS 以确保正确应用。

3.测试配置

通过全面测试确认 HSTS 设置。SSL Labs 的 SSL 服务器测试或SecurityHeaders.com等工具可快速验证标头部署和安全等级。
要进行更深入的检查，请使用浏览器开发工具。在Chrome 浏览器或Firefox 浏览器中打开开发工具(F12)，导航到网络选项卡并刷新页面。检查 HTTP 响应标头，验证Strict-Transport-Security标头的存在和正确性。

4.逐渐增加最大使用年限

最初使用较短的最大年龄值（如300秒）。这种谨慎的方法有助于快速识别任何错误配置，而不会对访问者造成严重影响。
一旦确认稳定，就逐渐延长这一持续时间，先延长到一周（604800秒），再延长到一个月（2592000秒），最后延长到一年或更长（31536000秒）。
在每个阶段密切监控，查看分析结果、错误日志和用户反馈。在进一步延长持续时间之前，及时处理任何报告的问题。

HSTS 预加载列表

HSTS 预加载列表是一项重要的安全措施，由 Google Chrome、Mozilla Firefox、Safari、Microsoft Edge 和 Opera 等主要浏览器管理。它允许浏览器从首次访问开始就完全通过 HTTPS 加载网站，消除了与初始 HTTP 连接相关的漏洞。

将域名添加到预载列表

您的网站必须符合特定条件才能列入预载列表。

首先，确保您的域名已正确安装和配置有效的SSL/TLS 证书。此外，所有 HTTP 流量必须自动平稳地重定向到 HTTPS，防止不安全的访问尝试。
HSTS 标头本身应指定一个可观的最大年龄值（一般至少为一年或31536000秒）。要符合浏览器包含的条件，必须同时包含includeSubDomains和preload指令。
满足这些标准后，您就可以通过官方预加载提交网站hstspreload.org 提交您的域名。一旦获得批准，您的网站就会成为嵌入浏览器的预加载列表的一部分，甚至在用户与您的网站进行第一次交互之前，就能提供即时保护，防止潜在的安全威胁。

重要考虑因素

谨慎：预加载在短期内是不可逆的。如果你的网站无法持续支持 HTTPS，预加载可能会导致可访问性问题。在提交域名之前，请彻底测试您的 HTTPS 部署。

共同挑战和最佳做法

实施 HSTS 可大大增强网站的安全性，但也会带来一些挑战。以下是如何有效解决这些常见问题的方法：

混合内容问题:当一些页面元素通过不安全的 HTTP 加载，而另一些则使用 HTTPS 时，浏览器会向访问者发出警告，从而造成混乱或不信任。实施内容安全策略（CSP）可解决这一问题，该策略可指示浏览器自动识别、报告和阻止不安全资源。定期审核网站，确保所有嵌入式脚本、图像和外部资源始终使用 HTTPS，确保访问者获得安全的浏览体验，而不会收到警告。
证书到期:过期的 SSL/TLS 证书可能会完全阻止访问者，造成严重干扰，尤其是在实施严格的 HSTS 政策的情况下。通过实施自动监控和更新流程，防止证书意外过期。Let’s Encrypt等工具或自动证书管理服务可简化续期工作，确保持续安全访问而不会停机。设置提醒或警报，提前数周通知团队，避免意外失效。
反向代理复杂性：反向代理或 CDN 有时会破坏正确的 HSTS 标头传播，从而可能干扰 HTTPS 请求。为防止出现这种情况，请确认您的反向代理或 CDN 正确传递标头，在整个连接链中保持安全标头。使用安全扫描仪定期测试您的 HSTS 标头，以验证配置的正确性和标头的完整性，尤其是在基础架构或配置更改之后。
维护非HSTS 环境：开发和暂存环境通常需要 HTTP 访问以进行测试和调试。避免在这些非生产环境中应用 HSTS 策略。相反，应使用专用于开发或测试的独立域或子域。将这些站点与生产站点明确区分开来，防止意外应用严格的 HSTS 策略，从而破坏工作流程或测试过程。