Проверка предварительной загрузки HSTS

• Проверка статуса предварительной загрузки HSTS в реальном времени: запросите официальный API hstspreload.org v2 в режиме реального времени, чтобы проверить, находится ли домен в списке предварительной загрузки Chrome/Chromium HSTS. Инструмент возвращает один из четырех статусов: «Предварительно загружено» (в списке), «Ожидает» (отправлено и ожидает рассмотрения), «Отклонено» (не соответствует требованиям) или «Не предварительно загружено» (нет в списке). Каждый статус включает подробное объяснение того, что он означает для домена.
• Подробная информация о предварительной загрузке. Помимо базового статуса, средство проверки предварительной загрузки HSTS показывает, был ли домен отправлен посредством массовой отправки, фактический предварительно загруженный домен (полезно для поддоменов, охватываемых родительской записью), а также время ответа на запрос. Результаты также включают прямую ссылку на hstspreload.org для получения дополнительной информации и вариантов отправки.
• Интеллектуальные описания и инструкции по статусу. Каждый статус предварительной загрузки HSTS сопровождается понятным для человека объяснением и практическими рекомендациями. Если домен предварительно загружен, в описании объясняется сила применения мер. В случае отклонения указываются распространенные причины. Если он не предварительно загружен, предоставляются инструкции по отправке домена.
• Бесплатно и без регистрации: проверяйте столько доменов, сколько хотите, без регистрации, ключа API и ограничений на использование. Средство проверки предварительной загрузки HSTS запрашивает общедоступный API hstspreload.org непосредственно из вашего браузера — никакие данные не сохраняются и не регистрируются на наших серверах. Совершенно бесплатно, навсегда.

• Аудит безопасности и соответствие требованиям. Специалисты по безопасности используют средство проверки предварительной загрузки HSTS, чтобы убедиться, что в клиентских доменах применяется максимально строгий контроль HTTPS. Включение домена в список предварительной загрузки HSTS гарантирует, что браузеры никогда не будут отправлять незашифрованные HTTP-запросы к этому домену, защищая от атак понижения версии, удаления SSL и атак типа «посредник» с самого первого посещения.
• Проверка усиления безопасности браузера. Перед запуском крупного веб-сайта убедитесь, что ваш домен находится в списке предварительной загрузки Chrome/Chromium HSTS. В отличие от HSTS, управляемого сервером (который требует хотя бы одного посещения HTTP для изучения политики), предварительно загруженные домены применяют HTTPS на уровне браузера при самом первом подключении. Это устраняет «уязвимость первой загрузки», которая затрагивает стандартные реализации HSTS.
• Оценка готовности к предварительной загрузке. Если ваш домен отображается как «Не предварительно загружен» или «Отклонен», воспользуйтесь средством проверки предварительной загрузки HSTS, чтобы понять, почему. Инструмент объясняет требования: действительный сертификат TLS, постоянное перенаправление HTTP-на-HTTPS, максимальный возраст ≥ 31 536 000 секунд (1 год), директива includeSubDomains и директива предварительной загрузки в заголовке Strict-Transport-Security.
• Проверка покрытия субдоменов: проверьте, охватываются ли субдомены записью предварительной загрузки родительского домена. Средство проверки предварительной загрузки HSTS показывает, распространяется ли домен на родительский домен (например, app.example.com покрывается example.com). Это очень важно для проверки того, что все поддомены в вашей инфраструктуре имеют защиту предварительной загрузки HSTS.
• Соответствие требованиям электронной коммерции и банковской деятельности. Сайты электронной коммерции, банки и любые веб-сайты, обрабатывающие конфиденциальные пользовательские данные, должны проверять свой статус предварительной загрузки HSTS. Нахождение в списке предварительной загрузки является сильным сигналом для пользователей и регулирующих органов о том, что сайт серьезно относится к безопасности HTTPS. Многие структуры безопасности (PCI DSS, NIST) рекомендуют или требуют применения HSTS.
• Сравнительный анализ конкурентной безопасности. Сравните внедрение предварительной загрузки HSTS у конкурентов в вашей отрасли. Проверьте, предварительно загружены ли домены основных конкурентов, и используйте результаты, чтобы обосновать необходимость внедрения предварительной загрузки HSTS в вашей организации. Средство проверки предварительной загрузки HSTS позволяет легко проверить любой домен за считанные секунды.

Список предварительной загрузки HSTS — это жестко закодированный список доменных имен, поддерживаемый Google и поставляемый с исходным кодом браузера Chrome/Chromium. Он также используется Firefox, Safari, Edge и Opera. Если домен находится в этом списке, браузер автоматически обновит все HTTP-соединения на HTTPS перед отправкой каких-либо данных — даже при самом первом посещении. Это устраняет «уязвимость первой загрузки», при которой пользователь может быть атакован до получения заголовка HSTS от сервера.

1. HSTS, управляемый сервером: когда браузер впервые посещает домен, сервер может отправить заголовок ответа Strict-Transport-Security. Браузер запоминает эту политику в течение времени, указанного в параметре max-age. Любые будущие посещения в течение этого периода будут использовать HTTPS. Однако самый первый визит оказывается незащищенным — это «проблема первой загрузки».
2. Предварительно загруженный HSTS: домены в списке предварительной загрузки защищены с самого первого подключения. Браузер проверяет свой внутренний список перед подключением и отказывается отправлять HTTP-трафик. Для активации защиты не требуется взаимодействие с сервером. Это самая сильная из доступных форм обеспечения соблюдения HTTPS.
3. Предварительная загрузка: чтобы быть добавленным в список, домен должен соответствовать строгим требованиям: он должен иметь действительный сертификат TLS, постоянно перенаправлять HTTP на HTTPS и включать заголовок Strict-Transport-Security с максимальным возрастом ≥ 31 536 000 (1 год), includeSubDomains и директиву предварительной загрузки. Затем домен отправляется на проверку через hstspreload.org.

• Предварительно загружен: домен находится в списке предварительной загрузки браузера. Все субдомены автоматически обновляются до HTTPS. Об этом свидетельствует значок зеленого щита.
• Ожидание: домен отправлен на hstspreload.org и ожидает проверки. В процессе проверки проверяется, соответствует ли домен всем требованиям предварительной загрузки. Этот статус обозначается желтым значком в виде щита.
• Отклонено: домен был отправлен, но не соответствовал требованиям предварительной загрузки. Распространенные причины включают недостаточный максимальный возраст, отсутствие includeSubDomains или конечную точку HTTP, которая не перенаправляет на HTTPS. Этот статус обозначается красным значком в виде щита.
• Не предварительно загружен: домен не находится в списке предварительной загрузки и не был отправлен. Это состояние по умолчанию для большинства доменов. Этот статус обозначается серым значком в виде щита.

Добавление домена в список предварительной загрузки HSTS — это серьезное обязательство. Поскольку список жестко запрограммирован в исходном коде браузера, удаление из списка может занять месяцы — для этого требуется цикл обновления браузера. После предварительной загрузки домена браузер откажется подключаться по HTTP, даже если сервер перестанет поддерживать HTTPS. Это означает, что после предварительной загрузки вы должны поддерживать поддержку HTTPS для своего домена в течение неопределенного времени. Владельцам доменов следует отправлять данные в список предварительной загрузки только после того, как их сайт и все поддомены имеют надежные и постоянные конфигурации HTTPS. Для тестирования и подготовки поддоменов рассмотрите возможность использования отдельных доменов, которые не загружены предварительно.