HTTPS 第2页

什么是HSTS max-ageHSTS max-age是浏览器缓存HTTPS强制策略的时间，单位为秒。max-age设置为0会怎样设置为0后浏览器会立即清除HSTS缓存，不再强制跳转HTTPS。注意事项撤销HSTS前应先降低max-age值，等待用户端缓存过期后再设置为0。...

引言：为什么不能直接上31536000？ HSTS（HTTP Strict Transport Security）的 max-age 参数决定了浏览器记住"只走HTTPS"指令的时间长度。很多教程一上来就让你设 max-age=31536000（一年），但这其实是个坑。 如果你配错了、或者证书部署有问题，用户一年内都无法访问你的HTTP版本——哪怕你后来修好了。所以正确的做法是两个阶段：先用小值测试，确认无误后再切换到正式值。 HSTS max-age 基础回顾 HSTS响...

配好了 HSTS，响应头却迟迟不出现？很多人在 Nginx 上配置完 Strict-Transport-Security 之后，第一反应就是打开浏览器访问网站，结果一看响应头——什么都没有。本质上这不是什么疑难杂症，大多数时候问题出在几个容易忽略的地方。这篇文章把 HSTS 不生效的常见原因逐一梳理，并给出对应的解决方法。 HSTS 是什么，配置逻辑要先搞清楚 在说排查方法之前，先把 HSTS 的基本逻辑理清楚。Strict-Transport-Security 响应头告诉...

当你的营销邮件、社交媒体或广告投放带来流量时，UTM参数是追踪来源的关键。但如果HTTP跳转HTTPS过程中参数丢失，你的数据就会大打折扣。这篇文章帮你彻底排查问题。 UTM参数是什么？为什么跳转后会丢失？ UTM参数是附加在URL后面的追踪参数，格式如： https://example.com/?utm_source=newsletter&utm_medium=email&utm_campaign=summer_sale 当用户访问HTTP链接被重定向到HTTPS时，如果...

什么是HSTS preload列表 HSTS preload列表是一个硬编码在浏览器中的域名清单，由Google维护，内置在Chrome、Firefox、Safari等主流浏览器的源代码里。只要域名在这个列表里，浏览器会无条件强制HTTPS，即使用户手动输入http://或者点击HTTP链接，也会被自动升级为HTTPS。 这比普通的HSTS响应头更底层——它不需要第一次访问来获取响应头，从用户安装浏览器的那一刻起，你的域名就已经被"记死"为HTTPS-only。 Chrom...

为什么需要撤销HSTS preload提交？ HSTS preload列表一旦生效，浏览器会强制使用该域名的HTTPS连接。但在某些场景下，你可能需要撤销这个设置： 网站架构调整：计划将部分子域名改回HTTP（虽然不推荐） 证书管理变更：更换CA供应商，过渡期可能需要临时回退 误操作提交：不小心提交了不适合preload的域名 业务方向变化：网站不再提供HTTPS服务（极少情况） 无论原因如何，撤销HSTS preload是一个需要谨慎操作的过程，因为浏览器缓存更新需要时...

配置 Nginx 的 HSTS 安全响应头时，max-age 参数是最核心的设置。它的值直接决定了浏览器记住"这个域名必须用 HTTPS"的时间长度。设得太短，防护效果有限；设得太长，一旦配置出错恢复成本高。新手经常卡在不知道该选哪个值，本文从官方推荐出发，给出分阶段的实操建议。 max-age 的基本概念 Strict-Transport-Security 响应头的标准格式如下： Strict-Transport-Security: max-age=过期秒数 max-ag...

鍓嶈█鍦ㄧ綉绔欏紑鍙戝拰杩愮淮杩囩▼涓紝HSTS锛圚TTP Strict Transport Security锛夋槸涓€涓潪甯告湁鏁堢殑瀹夊叏绛栫暐锛屽畠鑳藉己鍒舵祻瑙堝櫒浣跨敤HTTPS杩炴帴缃戠珯銆備絾鏈夋椂鍊欙紝鎴戜滑姝ｅ湪娴嬭瘯鐜鎴栬€呴渶瑕佷复鏃惰闂瓾TTP鐗堟湰鏃讹紝HSTS缂撳瓨浼氭垚涓烘嫤璺檸銆備粖澶╁氨褰诲簳璁叉竻妤欳hrome娴忚鍣ㄤ腑濡備綍娓呴櫎HSTS缂撳瓨锛岀壒鍒槸閫氳繃chrome://net-internals椤甸潰鐨勬柟娉曘€?...

目录 什么是HSTS预加载列表 提交HSTS预加载的前提条件 提交失败的7个常见原因 提交失败后的排查步骤 成功提交后的注意事项 相关文章推荐 什么是HSTS预加载列表 HSTS Preload List是由各大浏览器厂商维护的一组域名清单。一旦你的域名被加入这个列表，浏览器会直接通过HTTPS访问你的网站，即使用户在地址栏输入的是http://。这意味着你的域名从根本上杜绝了HTTP明文访问的可能性。 目前主流浏览器（Chrome、Firefox、Edge、Safar...

前言：为什么你需要用curl查看SSL证书详情 运维工作中，经常需要快速确认一个网站用了什么证书、证书由谁颁发、什么时候过期、证书链是否完整。这些信息浏览器能看，但用命令行来查效率更高——可以写进脚本、集成到自动化巡检流程里，也方便在服务器上直接操作不依赖图形界面。 curl是Linux/Unix系统标配的命令行工具，Windows 10及以上也内置了PowerShell版本的curl。本文详细介绍如何用curl及相关命令查看SSL证书的完整信息，涵盖证书链解析、域名匹配验证...