HSTS

为什么要用curl检查HSTS max-age值 HSTS（HTTP Strict Transport Security）是网站安全的重要防线，而max-age值决定了浏览器在多长时间内强制使用HTTPS访问你的站点。max-age设得太短，安全效果打折；设得太长，配置出错后难以撤销。用curl检查Strict-Transport-Security头的max-age值，是最直接、最快速的验证手段——无需打开浏览器，一条命令就能确认HSTS是否正确配置。 一、curl -sI...

为什么要用curl验证HSTS 配置了HSTS（HTTP Strict Transport Security）之后，最关键的一步就是验证它是否真的生效。很多人配完Nginx就直接完事了，结果浏览器访问时发现Strict-Transport-Security响应头根本没出现，或者max-age值不对，等于白配。用curl验证是最直接、最可靠的方式——不依赖浏览器缓存，不受HSTS preload列表干扰，能看到服务器返回的原始响应头。 命令一：基础检查——直接看响应头 最简单...

Nginx HSTS add_header和proxy_pass冲突解决方法这是文章的简单版本，稍后更新为完整内容。...

Nginx HSTS add_header和proxy_pass冲突解决方法这是一篇关于解决Nginx HSTS安全头在proxy_pass代理中丢失问题的技术文章。文章内容详细，包含多个实战场景和解决方案。...

HSTS（HTTP Strict Transport Security）是保护网站 HTTPS 连接的重要安全机制。配置好 HSTS 响应头后，如何快速验证全站域名是否正确返回了该头部？手动逐个访问不现实，curl 批量检测才是高效方案。 本文分享 5 个实战脚本，从最简单的单域名检查到多域名并行检测，覆盖 Shell 和 PowerShell 两大平台，帮你把 HSTS 安全巡检彻底自动化。 一、为什么需要批量检测 HSTS 响应头 在实际运维中，HSTS 配置可能因为以...

引言 HSTS（HTTP Strict Transport Security）是一项重要的Web安全机制，通过Strict-Transport-Security响应头告诉浏览器：「这个网站以后必须用HTTPS访问」。一旦浏览器接收到这个头，就会把网站加入HSTS列表，后续所有HTTP请求都会自动升级为HTTPS。 但问题来了：HSTS max-age会在浏览器端缓存很长时间（通常至少一年，preload更是永久记住）。如果你在测试HSTS配置、或者误配置了HSTS导致网站...

HSTS max-age 到底是什么 HSTS（HTTP Strict Transport Security）是网站安全的重要一环，而 max-age 参数则是整个策略的核心——设错了，要么浏览器根本不记，要么记了没法改。本文整理了6个 Nginx HSTS max-age 设置时最常见的错误，逐一给出排查方法和正确配置。 max-age 告诉浏览器：在多少秒内，访问这个域名时必须使用 HTTPS。比如 max-age=31536000 就是一年。这个参数有几个关键点： 单...

前言：为什么 max-age 不能一上来就设两年 HSTS（HTTP Strict Transport Security）的 max-age 参数决定浏览器记住"强制 HTTPS"指令的时间。设短了，安全效果打折扣；设长了，一旦证书或 HTTPS 配置出问题，用户在有效期内无法访问你的网站。 很多教程上来就让你直接设 max-age=63072000（两年），这是 HSTS preload 的提交要求，不是你第一天就该用的值。 正确的做法：分阶段切换，从短到长，每一步都验证无...

HSTS preload 的 max-age 要求到底是什么？ HSTS（HTTP Strict Transport Security）preload 是浏览器内置的一个机制，让支持 HTTPS 的网站在用户第一次访问时就能强制走 HTTPS，而不需要先经历一次 HTTP 到 HTTPS 的跳转。 在提交到 hstspreload.org 时，官方对 Strict-Transport-Security 响应头有一个硬性要求： max-age 必须 ≥ 31536000（1年）...

先说结论：浏览器什么时候开始"记住"HSTS？ 很多教程只告诉你"配置HSTS"，但没说清楚浏览器到底什么时候开始强制执行HTTPS。这里直接给结论： 浏览器在第一次收到Strict-Transport-Security响应头之后，就会立即将域名加入HSTS列表，不需要等待max-age秒。 max-age的含义是：记住这个策略的有效期有多长，而不是"多少秒之后才开始生效"。 举个例子：你配置max-age=31536000（一年），用户第一次访问你的HTTPS网站，响应...