HSTS Check

Что такое HSTS Check: проверка заголовка Strict-Transport-Security онлайн

Инструмент HSTS Check от 101ip.ru — это бесплатная онлайн-утилита для проверки заголовка Strict-Transport-Security (HSTS) вашего сайта. HSTS — это механизм веб-безопасности, который предписывает браузеру взаимодействовать с сервером исключительно по защищённому протоколу HTTPS, игнорируя попытки подключения по HTTP. С помощью нашей проверки вы можете убедиться, что ваш веб-ресурс настроен корректно, защищён от атак типа понижения версии протокола (downgrade attack) и перехвата cookie. Для анализа достаточно ввести домен (например, example.com) или полный URL (https://example.com). Сервис автоматически определит, отправляет ли ваш сервер заголовок HSTS, и покажет все его ключевые параметры: max-age, includeSubDomains и preload.

Безопасность сайта в современных условиях — это не просто HTTPS, а правильная политика HSTS. Если вы владелец сайта, разработчик или администратор, регулярная проверка заголовка Strict-Transport-Security помогает предотвратить уязвимости. Инструмент работает в реальном времени, не требует регистрации и установки. Просто введите адрес и нажмите «Проверить». Результат отображается в наглядном виде: указано значение max-age в секундах, наличие директив includeSubDomains и preload, а также статус включения вашего домена в предустановленный список HSTS Preload List браузера Chrome.

Детальный разбор параметров: max-age, includeSubDomains и preload

Правильная настройка HSTS заголовка требует понимания его директив. Наш инструмент HSTS Check анализирует каждую из них по-отдельности:

• max-age — это время в секундах, в течение которого браузер должен принудительно использовать только HTTPS. Рекомендуемое значение для производственных сайтов — 31536000 (1 год). Если вы видите меньшее значение (например, 3600), политика может быть настроена временно для тестирования. Значение 0 означает отключение HSTS.
• includeSubDomains — если эта директива присутствует, политика HSTS распространяется на все поддомены вашего сайта (например, blog.example.com, mail.example.com). Будьте осторожны: включение этой опции требует абсолютной уверенности, что все поддомены работают по HTTPS, иначе они станут недоступными для пользователей.
• preload — указывает на то, что домен подан или утверждён в HSTS Preload List. Это список сайтов, которые браузеры (Chrome, Firefox, Safari) предварительно загружают перед первым подключением, исключая даже первый HTTP-запрос. Наш инструмент мгновенно проверяет статус вашего домена в этом списке.

Помимо этих параметров, инструмент валидирует синтаксис заголовка. Если заголовок отсутствует или содержит ошибки (например, неправильный формат даты), вы получите соответствующее уведомление. Это особенно полезно при тестировании после изменений конфигурации веб-сервера (Apache, Nginx, IIS).

Как интерпретировать результаты проверки HSTS

После завершения сканирования, инструмент HSTS Check на странице 101ip.ru показывает один из трёх возможных статусов:

• Проверка пройдена — заголовок Strict-Transport-Security обнаружен, все параметры (max-age, includeSubDomains) соответствуют рекомендациям безопасности. Рядом отображается зелёный индикатор.
• Предупреждение — заголовок найден, но max-age слишком мал (менее 10886400 секунд — 6 месяцев), отсутствует includeSubDomains или обнаружены синтаксические неточности. Это указывает на то, что настройка может быть неполной для полной защиты.
• Ошибка — заголовок отсутствует полностью или заблокирован firewall/CDN. В этом случае ваш сайт уязвим для атак SSL Strip. Рекомендуется немедленно настроить HSTS на сервере.

Также отображается сырое значение заголовка для детального анализа. Вы можете скопировать его для отчёта или сравнения с другими инструментами. Помните, что для правильной работы проверки домен должен быть разрешён в DNS, а сервер должен отвечать на HTTPS-запросы.

Практические советы по настройке HSTS для вашего сайта

На основе данных, полученных в результате проверки HSTS, вы можете приступить к настройке или улучшению конфигурации. Вот несколько рекомендаций:

• Начинайте с малого значения max-age (например, 300 — 5 минут) в тестовой среде, чтобы убедиться, что HTTPS работает без ошибок на всех страницах.
• Постепенно увеличивайте max-age до 31536000 (1 год). Используйте директиву includeSubDomains только после полной проверки всех поддоменов. Например, конфигурация в Nginx: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;.
• Если вы планируете попасть в HSTS Preload List, убедитесь, что ваш сайт и все поддомены доступны по HTTPS без ошибок сертификата. Подача заявки осуществляется на сайте hstspreload.org. Наш инструмент покажет, есть ли ваш домен в этом списке.
• Не забывайте про редирект с HTTP на HTTPS. HSTS работает в паре с 301 редиректом. Наш сервис Redirect Check поможет проверить цепочку перенаправлений.

Часто задаваемые вопросы

• Почему инструмент показывает «HSTS заголовок не найден», хотя у меня включён HTTPS?

  Это может означать, что ваш веб-сервер или CDN не отправляет заголовок Strict-Transport-Security в ответе. Проверьте конфигурацию сервера (Nginx, Apache) — возможно, вы забыли добавить директиву add_header или она переопределяется. Также убедитесь, что вы вводите полный URL с https://, так как HTTP-версия сайта может не передавать HSTS.

• Что означает директива preload и как проверить, попал ли мой сайт в список Chrome?

  Директива preload в HSTS заголовке говорит браузерам, что сайт хотел бы быть включённым в предустановленный список (HSTS Preload List). Наш инструмент автоматически проверяет статус домена в этом списке. Если ваш сайт там не числится, вам нужно сначала добавить директиву preload в заголовок, а затем подать заявку на hstspreload.org.

• Мой сайт использует includeSubDomains, но один из поддоменов не работает по HTTPS. Что делать?

  Если у вас включена директива includeSubDomains и вы используете max-age с большим значением, браузер заблокирует доступ к любому поддомену, у которого нет валидного HTTPS. Временно удалите includeSubDomains, настройте HTTPS на проблемном поддомене, проведите повторную проверку HSTS с помощью нашего инструмента, и только после этого верните директиву.

Смотрите также

Проверьте другие инструменты для анализа безопасности вашего сайта:

• SSL-сертификат — проверка сертификата и цепочки доверия
• TLS-версия — анализ протокола и шифров
• Заголовки безопасности — полный аудит Content-Security-Policy, X-Frame-Options и других
• Редирект — проверка HTTP-редиректов
• DNSSEC — проверка расширений безопасности DNS