Télécharger les sites web qui utilisent HSTS

À propos de HSTS

La plupart des marqueurs de sécurité coûtent peu à poser et peu à retirer. HSTS n’est ni l’un ni l’autre, et c’est cette différence qui rend la colonne intéressante à lire. L’en-tête ordonne aux navigateurs de refuser toute connexion en clair vers le domaine pendant une durée annoncée, et une fois qu’il a été servi et mis en cache, il n’existe aucun moyen rapide de revenir en arrière. Un exploitant qui l’envoie a accepté qu’une erreur de certificat devienne une panne plutôt qu’un avertissement, et c’est une décision que quelqu’un a dû se sentir assez sûr de lui pour prendre.

Le mécanisme a été normalisé en 2012 pour fermer les attaques par rétrogradation de protocole et par vol de cookie, et en octobre 2026 nous voyons l’en-tête sur 16 509 348 sites. Le ranger dans la catégorie Security énonce une évidence. Le cadrage le plus utile est organisationnel, parce que la présence prouve que quelqu’un dans cette organisation a compris un arbitrage et l’a appliqué, et il est rare de pouvoir déduire une chose pareille d’un inconnu à partir d’un scan public.

Plusieurs publics achètent exactement cette déduction. Les fournisseurs et les cabinets de conseil en sécurité veulent les domaines qui n’ont pas adopté la politique, parce que ces domaines forment le marché adressable de ce qu’ils vendent. Les analystes conformité et assurance veulent la vue inverse, en utilisant l’adoption comme une entrée parmi d’autres dans une note de posture pour un secteur ou une chaîne d’approvisionnement qu’ils ne peuvent pas auditer directement. Les chercheurs en menaces se servent du champ pour cibler leurs scans, en partant du principe raisonnable qu’un domaine qui impose la sécurité du transport dit quelque chose de la maturité de tout ce qui se trouve derrière.

C’est aux États-Unis que la concentration est la plus forte, avec 9 156 474 des domaines qui envoient l’en-tête, et le poids des suffixes se porte sur .com. Le schéma suit les plateformes d’hébergement et les panneaux de contrôle qui activent la politique par défaut pour leurs clients, si bien qu’un chiffre national élevé mesure souvent une décision de fournisseur plutôt qu’une culture nationale de la sécurité. Quiconque construit une comparaison sectorielle devrait tenir la colonne hébergement à côté de la colonne pays, sans quoi la conclusion portera sur une infrastructure qui porte un drapeau qu’elle n’a jamais choisi.

Une vérification domaine par domaine est gratuite et instantanée, et c’est bien là le propos. Personne n’a besoin d’un dataset pour savoir si un site envoie l’en-tête. Les questions qui réclament le fichier sont celles qui ont un dénominateur en dessous. Quelle proportion des domaines d’un suffixe national applique la politique. Comment la liste de fournisseurs d’une banque se compare à son secteur dans son ensemble. Si l’adoption au sein de la base clients d’un hébergeur a bondi après que celui-ci a changé un réglage par défaut, et à quel moment. Les dénominateurs exigent la population entière dans un seul fichier, jointe aux autres marqueurs sur la même ligne.

Notre enregistrement est volontairement étroit. Nous notons que l’en-tête était présent sur la réponse que nous avons reçue, et nous ne publions ni sa durée, ni le fait qu’il couvre ou non les sous-domaines, ni la présence du domaine sur les listes de préchargement livrées avec les navigateurs. Une politique de courte durée et une politique longue se ressemblent exactement ici. La détection dépend aussi de notre capacité à joindre le site, donc les blocages, les délais dépassés et les pages intermédiaires produisent des absences qui sont des refus de répondre plutôt que des refus de sécuriser. Une absence signifie que nous n’avons pas observé l’en-tête, ce qui est l’affirmation honnête, et une question de politique qui dépend des paramètres de l’en-tête demande une vérification ciblée que ce fichier peut seulement vous aider à orienter.