تست HTTP Strict Transport Security

HSTS چیست؟

HTTP Strict Transport Security (HSTS) مکانیزمی است که به مرورگر دستور می‌دهد فقط از HTTPS استفاده کند. وقتی سرور header HSTS را ارسال می‌کند، مرورگر برای مدت مشخصی تمام درخواست‌ها را به‌صورت HTTPS ارسال می‌کند، حتی اگر کاربر http:// تایپ کند.

چرا HSTS مهم است؟

• جلوگیری از حملات SSL Stripping
• جلوگیری از حملات Downgrade
• محافظت از کوکی‌ها در برابر سرقت
• افزایش اعتماد کاربران
• بهبود امتیاز امنیتی سایت

ساختار header HSTS

1Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

روش‌شناسی تست

مرحله ۱: بررسی header HSTS

1# بررسی header
2curl -I https://target.com | grep -i strict-transport
3
4# بررسی با verbose
5curl -v https://target.com 2>&1 | grep -i strict
6
7# بررسی با ابزار آنلاین
8# https://hstspreload.org/

مرحله ۲: بررسی پیکربندی

بررسی کنید که آیا HSTS به‌درستی پیکربندی شده:

• آیا max-age کافی است؟
• آیا includeSubDomains فعال است؟
• آیا HTTPS redirect فعال است؟
• آیا preload فعال است؟

مرحله ۳: تست رفتار مرورگر

تست کنید که آیا مرورگر واقعاً از HSTS پیروی می‌کند:

• آیا http:// به https:// redirect می‌شود؟
• آیا بعد از اولین بازدید، درخواست‌ها خودکار HTTPS می‌شوند؟
• آیا زیردامنه‌ها هم شامل می‌شوند؟

تأثیر

عدم پیاده‌سازی HSTS می‌تواند منجر به حملات SSL Stripping شود که در آن مهاجم ارتباط امن را به ناامن تبدیل می‌کند و اطلاعات حساس مثل رمزهای عبور را سرقت می‌کند.

راه‌حل

1Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

1add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;