TLS 降级与中间人攻击：HSTS 策略与 Preload 列表加固

发表于：2022-08-05|最后更新：2022-08-06|分类：Web安全|阅读：5325 次

SSLStrip 工具会在用户初次通过 HTTP 访问网站跳转 HTTPS 的空隙拦截通信。配置 HSTS（HTTP Strict Transport Security） 可强迫浏览器仅使用 HTTPS 发起连接，而加入 HSTS Preload 更是能消除首次访问的风险窗口。

一、严格 HSTS Header 配置

http

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

nginx

# Nginx 服务器响应头配置
server {
    listen 443 ssl http2;
    server_name example.com;

    # 启用 HSTS (2年有效期，包含所有子域名)
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
}