Kiểm tra HSTS

Kiểm tra HSTS và chuyển hướng HTTPS

HSTS là gì?

Strict-Transport-Security (HSTS) bảo trình duyệt chỉ kết nối tới tên miền của bạn qua HTTPS trong một khoảng thời gian (max-age). Nhờ vậy kẻ gian trên Wi-Fi công cộng không thể hạ cấp kết nối xuống http để đọc trộm.

Cấu hình khuyến nghị: Strict-Transport-Security: max-age=31536000; includeSubDomains. Chỉ thêm includeSubDomains và preload khi mọi tên miền con đều đã chạy HTTPS.

Câu hỏi thường gặp

max-age bao nhiêu là đủ?

Tối thiểu 6 tháng (15552000 giây); phổ biến là 1 năm (31536000). Khi mới bật có thể thử max-age ngắn trước.

Preload là gì?

Danh sách tên miền được trình duyệt cài sẵn chế độ chỉ-HTTPS, kể cả lần truy cập đầu tiên. Gỡ khỏi danh sách mất nhiều tháng, nên cân nhắc kỹ.