Scaricare i siti web che utilizzano HSTS

Informazioni su HSTS

La maggior parte degli indicatori di sicurezza costa poco da aggiungere e poco da rimuovere. HSTS non rientra in nessuno dei due casi, ed è proprio questa differenza a rendere la colonna degna di essere letta. L’intestazione impone ai browser di rifiutare le connessioni in chiaro verso il dominio per un periodo dichiarato, e una volta servita e memorizzata nella cache non esiste un modo rapido per revocarla. Un operatore che la invia ha accettato che un errore di certificato diventi un’interruzione del servizio anziché un avviso, una decisione che qualcuno ha dovuto sentirsi abbastanza sicuro da prendere.

Il meccanismo è stato standardizzato nel 2012 per bloccare gli attacchi di downgrade del protocollo e di furto dei cookie, e a ottobre 2026 rileviamo l’intestazione su 50.184.147 siti. Classificarla nella categoria Security significa dire l’ovvio. La lettura più utile è organizzativa, perché la presenza è la prova che qualcuno in quell’organizzazione ha capito un compromesso e ha agito di conseguenza, ed è raro poter dedurre una cosa del genere su uno sconosciuto a partire da una scansione pubblica.

Diversi tipi di acquirenti pagano esattamente per questa deduzione. I fornitori e le società di consulenza in materia di sicurezza vogliono i domini che non hanno adottato la policy, perché quei domini sono il mercato potenziale di ciò che vendono. Gli analisti di conformità e del settore assicurativo vogliono la prospettiva opposta, e usano l’adozione come uno degli elementi di un punteggio sul livello di sicurezza di un settore o di una catena di fornitura che non possono verificare direttamente. I ricercatori che studiano le minacce usano il campo per circoscrivere le proprie scansioni, partendo dal presupposto ragionevole che un dominio che impone la sicurezza del trasporto dica qualcosa sulla maturità di tutto ciò che sta dietro.

Dei domini che inviano l’intestazione, 29.936.715 si trovano negli Stati Uniti, e tra le estensioni il peso maggiore ricade su .com. L’andamento segue le piattaforme di hosting e i pannelli di controllo che attivano la policy per i propri clienti in modo predefinito, quindi un dato nazionale elevato spesso misura una decisione del fornitore più che una cultura nazionale della sicurezza. Chi costruisce un confronto tra settori dovrebbe tenere la colonna dell’hosting accanto a quella del paese, altrimenti la conclusione riguarderà un’infrastruttura che porta una bandiera che non ha mai scelto.

Una verifica sul singolo dominio è gratuita e istantanea, ed è proprio questo il punto. Nessuno ha bisogno di un dataset per sapere se un sito invia l’intestazione. Le domande che richiedono il file sono quelle che hanno un denominatore alla base. Quale proporzione dei domini di un’estensione nazionale impone la policy. Come si confronta l’elenco dei fornitori di una banca con il suo settore nel complesso. Se l’adozione all’interno della clientela di un fornitore di hosting sia aumentata di colpo dopo che il fornitore ha cambiato un’impostazione predefinita, e quando. I denominatori richiedono l’intera popolazione in un unico file, collegata agli altri indicatori sulla stessa riga.

Il dato che registriamo è volutamente limitato. Annotiamo che l’intestazione era presente nella risposta che abbiamo ricevuto, e non pubblichiamo la sua durata, se copra i sottodomini o se il dominio compaia negli elenchi di preload distribuiti con i browser. Una policy di breve durata e una di lunga durata qui appaiono identiche. Il rilevamento dipende inoltre dalla possibilità di raggiungere il sito, quindi blocchi, timeout e pagine interstiziali producono assenze che sono rifiuti di rispondere, non rifiuti di proteggersi. L’assenza significa che non abbiamo osservato l’intestazione, il che è l’affermazione onesta, e una domanda sulla policy che dipende dai parametri dell’intestazione richiede una verifica mirata, per la quale questo file può solo indicare dove guardare.