宝塔面板 OpenLiteSpeed 开启HSTS让HTTPS更安全

HTTP严格传输安全（英语：HTTP Strict Transport Security，缩写：HSTS）是一套由互联网工程任务组发布的互联网安全策略机制。网站可以选择使用HSTS策略，来让浏览器强制使用HTTPS与网站进行通信，以减少会话劫持风险。

HSTS 作用

HSTS可以用来抵御SSL剥离攻击。SSL剥离攻击是中间人攻击的一种，由 Moxie Marlinspike 于2009年发明。他在当年的黑帽大会上发表的题为“New Tricks For Defeating SSL In Practice”的演讲中将这种攻击方式公开。SSL剥离的实施方法是阻止浏览器与服务器创建HTTPS连接。它的前提是用户很少直接在地址栏输入https://，用户总是通过点击链接或3xx重定向，从HTTP页面进入HTTPS页面。所以攻击者可以在用户访问HTTP页面时替换所有https://开头的链接为http://，达到阻止HTTPS的目的。

HSTS可以很大程度上解决SSL剥离攻击，因为只要浏览器曾经与服务器创建过一次安全连接，之后浏览器会强制使用HTTPS，即使链接被换成了HTTP。

另外，如果中间人使用自己的自签名证书来进行攻击，浏览器会给出警告，但是许多用户会忽略警告。HSTS解决了这一问题，一旦服务器发送了HSTS字段，将不再允许用户忽略警告。

宝塔面板 OpenLiteSpeed 开启HSTS

  1. 进入网站配置文件：网站设置->配置文件

  2. 添加以下代码，并保存：

    1
    2
    3
    4
    5
    6
    7
    8
    9
    context / {
      allowBrowse             1
      extraHeaders            Strict-Transport-Security "max-age=31536000; includeSubDomains;preload"
      rewrite  {
      }
      addDefaultCharset       off
      phpIniOverride  {
      }
    }

  3. 进入 OpenLiteSpeed管理

  4. 点击 重载配置 -> 重启

HSTS 验证

在开启了HSTS后，你部署SSL/TLS的服务检测得分就可能是A+以上了。
SSL Labs官网： https://www.ssllabs.com/
SSL/TLS安全评估： https://myssl.com/

加入 HSTS Preload List

》 在用户首次访问某网站是不受HSTS保护的。这是因为首次访问时，浏览器还未收到HSTS，所以仍有可能通过明文HTTP来访问，浏览器预置HSTS域名列表，Google Chrome、Firefox、Internet Explorer和Microsoft Edge实现了这一方案。

进入 HSTS Preload List Submission 官网，输入你的域名，然后开始检测。
HSTS Preload List Submission 官网:https://hstspreload.org/

检测结果会告诉是否符合加入HSTS Preload List，没有问题的话勾选确定。

HSTS Preload List审核的时间有长有短，一旦提交后你就只能等待。

验证是否成功加入 HSTS Preload List

你可以在Chrome浏览器的地址框中输入 chrome://net-internals/#hsts 查看。

结语

由于HSTS Preload List是一个内置于各大浏览器的Https网站列表，所以能否加入成功除了审核通过外，还得看浏览器版本的更新。一旦加入HSTS Preload List了想要退出就比较麻烦了，所以加入前一定要考虑好。

那么哪些网站适合加入HSTS Preload List？个人博客或者网站可以来玩一玩，对于安全性要求比较高的电商网站，会员管理后台等完全可以使用HSTS Preload List，对于一些有Http需要的还是不加入得好。