申请 HSTS Preload List

一直以为只有 VPS 能配置 HSTS,囧。维基百科:HSTS 是 HTTP Strict Transport Security(HTTP严格传输安全)的缩写,是一套由互联网工程任务组发布的互联网安全策略机制。

HSTS 主要目的是为了解决 HTTPS 网站首次请求时因使用未加密的 HTTP 协议而存在被劫持的可能。HSTS 还有另外一层好处:增强网站的兼容性。

采用 HSTS 后,支持这个协议的浏览器会自动跳转到 HTTPS 页面,返回码为 307。而不支持 HSTS 的浏览器访问网站,则不会产生跳转,从而提高了兼容性。(比 301 强制跳转更温柔)

方法源自张戈博客:利用HSTS安全协议柔性解决全站HTTPS的兼容性问题

前提:网站能配置 https(最好已经配置上 https)、把 http 链接处理掉,改成相对链接(比如,http://cyhour.com 可以改成://cyhour.com)。以前的文章可以参考一下:DirectAdmin 安装 StartSSL 免费 SSL 证书

另,如果没有长期使用 https 打算的就不要折腾了。否则后果自负~

开启 HSTS(通用方法)

适合使用虚拟主机,或者不会折腾 WEB 软件。原理很简单,通过代码来新增响应头。将如下代码(仅适用 php)插入到网站根目录的 index.php 即可:

<?php header("Strict-Transport-Security: max-age=63072000; includeSubDomains; preload"); ?>

对于 WordPress,将代码插入 header.php 文件的 wp_head() 前面即可。

更多方法请参考张戈博客原文。

提交 HSTS Preload List 申请

方法很简单,打开地址:https://hstspreload.appspot.com/ (需要爬梯子),输入要提交的域名,『Check status and eligibility』,然后根据提示操作即可。

提交后会显示正在提交到 preload list。要等多久才能通过,我也不知道,反正我是申请了将近有一个星期了,还是 pending submission 状态中。

提交后直到批准,网站必须强制 301 跳转到 HTTPS,否则无法通过,批准后取消 301 跳转即可。


更新:20170126

不知道什么时候已经是 currently preloaded 状态了。

https://hstspreload.org/?domain=cyhour.com

除非注明,垃圾站文章均为网络收集,本文地址 https://cyhour.com/466/,转载时烦请以链接形式注明原始出处。
声明:我们不销售主机,选主机需合法使用。任何主机需定期备份,防止数据丢失。信息以实际为准,评测仅供参考不代表权威!
🍄:Netflix 奈飞 YouTube 合租

20张最佳高清壁纸 适合 一加 OnePlus 7 8 9 系列

如题,20张最佳高清壁纸 适合 一加 OnePlus 7 8 9 系列。分辨率 1080 * 2400 和 1440 * 3168。 20张最佳高清壁纸 适合 一加 OnePlus 7 8 9 系列 壁纸缩略图预览: 壁纸来源:20 Best Wallpapers for OnePlus 7, 8, and 9 Series 20张最佳高清壁纸 适合 一加 OnePlus 7 8 9 系列下载:巨…
浏览: 124 标签:  ,  ,  , 

Samsung Galaxy M42 5G 内置 HD+ 高清壁纸下载

三星 Galaxy M42/A42 两款 5G 手机近期通过了印度 BIS 入网认证,代号分别为 SM-M426B/DS 和 SM-A426B/DS。Galaxy M42 5G 使用 Snapdragon 750G 芯片组,5000mAh电池…… Samsung Galaxy M42 5G 内置 HD+ 高清壁纸下载 Samsung Galaxy M42 5G 内置 HD+ 高清壁纸 缩略图预览: 壁纸来源…

Redmi K40 游戏增强版 内置 FHD+ 高清壁纸下载

Redmi K40 游戏增强版,搭载联发科最强处理器天玑1200,67W快充,号称薄的不像是硬核游戏手机,其定位于一款兼顾日常与游戏的手机。 Redmi K40 游戏增强版 参数一览 Redmi K40 游戏增强版硬件配置参数简介: Redmi K40 游戏增强版 内置 FHD+ 高清壁纸下载 Redmi K40 游戏增强版 内置 …

垃圾站,你好!

如题,本博客已找到更符合主题的名字,已更名为「垃圾站」。站点/博客名字「垃圾站」和域名「cyhour.com」不会再改变,直至删库跑路。 上图出处:https://www.pexels.com/zh-cn/photo/3174350/ 友联的朋友如介意可以删除老头链接了,老头这里链接至少还会保留一年(大概率保留至删库跑路)…
浏览: 57 标签:  ,  ,  , 
浏览: 56

Comments:41

  1. 万一哪天不想用ssl了呢?

    2016.12.10 06:13 # 回复
    1楼
    • @河石子 那就得先申请取消 preload list ,再取消 ssl,否则网站就打不开了。

      2016.12.10 07:15 # 回复
  2. 一旦加入preload list,子域名也跟着强制了,所以我只是简单的对主域名做了HSTS。

    2016.12.10 09:41 # 回复
    2楼
  3. 你怎么会有这种错觉??!!
    “一直以为只有 VPS 能配置 HSTS”

    2016.12.10 12:19 # 回复
    3楼
  4. 感觉你花好多时间在折腾博客上面

    2016.12.10 13:25 # 回复
    4楼
  5. 慎重啊,已经在名单中,现在想加个二级域名搞测试都要强制ssl,很麻烦

    2016.12.10 13:54 # 回复
    5楼
  6. 我的一个域名就加入了这个 现在好了 全部强制https了
    很醉啊

    2016.12.10 20:22 # 回复
    6楼
    • @Klose 嗯,支持 ssl 都会强制 https。回过头,如果不是想用 ssl,折腾这个干什么???

      2016.12.11 09:17 # 回复
  7. 我倒是觉得没有很大必要要加入 加入也可以

    2016.12.10 20:23 # 回复
    7楼
  8. 我还没有加入https的大阵营。一看这个折腾起来也是不简单,索性不打算折腾了

    2016.12.11 10:55 # 回复
    8楼
  9. 我不出名的小站,应该不会有人打我的主意吧

    2016.12.11 22:21 # 回复
    9楼
  10. 挺能折腾,手机下侧边那个 O 什么意思,呵呵。

    2016.12.11 22:26 # 回复
    10楼
  11. 话说这个东西不知道搞了后的好处在哪里?

    2016.12.13 17:01 # 回复
    11楼
  12. 这个喜欢就加,不喜欢就不加,看自己喽

    2016.12.14 11:14 # 回复
    12楼
  13. 关于将所有 HTTP 流量重定向到 HTTPS,友情链接之类的也要https?

    2016.12.16 21:40 # 回复
    13楼
  14. SSL在CDN上也是可以的~~表示我更多是在CDN~

    2016.12.17 18:34 # 回复
    14楼
  15. 话说过了一年有的付费使用了

    2016.12.21 23:04 # 回复
    15楼
  16. 现在独立博客好流行HTTPS啊

    2017.01.06 17:21 # 回复
    16楼
  17. 垃圾站-何先生
    何先生

    子域名受影响这个比较烦

    2017.02.12 19:52 # 回复
    17楼
  18. 你已经被移出了,提示你配置错误

    2020.08.05 16:26 # 回复
    18楼

发表留言

Vultr 送$100,搬瓦工年付最低$49,优惠码 BWH3HYATVBJW,更多推荐VPS信息