Descargar sitios web que utilizan HSTS

Acerca de HSTS

La mayoría de los marcadores de seguridad son baratos de añadir y baratos de retirar. HSTS no es ni una cosa ni la otra, y esa diferencia es lo que hace que valga la pena leer la columna. La cabecera ordena a los navegadores que rechacen las conexiones sin cifrar hacia el dominio durante un periodo declarado, y una vez que se ha servido y se ha guardado en caché no hay forma rápida de dar marcha atrás. El operador que la envía ha aceptado que un error de certificado se convierta en una caída del servicio y no en un aviso, una decisión que alguien tuvo que tener la confianza suficiente para tomar.

El mecanismo se estandarizó en 2012 para cerrar los ataques de degradación de protocolo y de secuestro de cookies, y a septiembre de 2026 vemos la cabecera en 44.472.033 sitios. Clasificarlo en la categoría Security enuncia lo evidente. El encuadre más útil es el organizativo, porque la presencia demuestra que alguien dentro de esa organización entendió una contrapartida y actuó en consecuencia, y eso es algo poco frecuente de poder deducir sobre un desconocido a partir de un rastreo público.

Varios públicos compran exactamente esa deducción. Los proveedores y las consultoras de seguridad quieren los dominios que no han adoptado la política, porque esos dominios son el mercado abordable de lo que venden. Los analistas de cumplimiento y de seguros quieren la vista contraria y usan la adopción como una entrada más en la puntuación de postura de un sector o de una cadena de suministro que no pueden auditar de forma directa. Los investigadores de amenazas usan el campo para acotar sus rastreos, bajo el supuesto razonable de que un dominio que impone la seguridad del transporte dice algo sobre la madurez de todo lo demás que hay detrás.

En Estados Unidos se concentran 24.940.276 de los dominios que envían la cabecera, y el peso de los sufijos recae en .com. El patrón sigue a las plataformas de alojamiento y a los paneles de control que activan la política por defecto para sus clientes, de modo que una cifra nacional elevada mide muchas veces la decisión de un proveedor y no una cultura nacional de seguridad. Quien construya una comparación sectorial debería mantener la columna de alojamiento junto a la columna de país, porque si no la conclusión hablará de una infraestructura que luce una bandera que nunca eligió.

Comprobar un dominio concreto es gratis e inmediato, y ahí está justamente la cuestión. Nadie necesita un conjunto de datos para saber si un sitio envía la cabecera. Las preguntas que exigen el fichero son las que llevan un denominador debajo. Qué proporción de los dominios de un sufijo de código de país impone la política. Cómo se compara la lista de proveedores de un banco con su sector en conjunto. Si la adopción dentro de la cartera de clientes de un alojamiento dio un salto después de que el proveedor cambiara un valor por defecto, y cuándo. Los denominadores exigen toda la población en un solo fichero, unida a los demás marcadores en la misma fila.

Nuestro registro es deliberadamente acotado. Anotamos que la cabecera estaba presente en la respuesta que recibimos, y no publicamos su duración, ni si cubre los subdominios, ni si el dominio figura en las listas de precarga que distribuyen los navegadores. Una política de corta duración y otra de larga duración se ven idénticas aquí. La detección depende además de llegar al sitio, así que los bloqueos, los tiempos de espera agotados y las páginas intersticiales producen ausencias que son negativas a responder y no negativas a proteger. La ausencia significa que no observamos la cabecera, y esa es la afirmación honesta. Una pregunta de política que dependa de los parámetros de la cabecera necesita una comprobación dirigida, y este fichero solo puede indicarle hacia dónde apuntarla.