Descarregar sites que utilizam HSTS

Sobre HSTS

A maioria dos marcadores de segurança é barata de acrescentar e barata de retirar. HSTS não é nem uma coisa nem outra, e é essa diferença que torna a coluna digna de leitura. O cabeçalho instrui os navegadores a recusarem ligações simples ao domínio durante um período declarado, e, depois de ter sido servido e colocado em cache, não há forma rápida de voltar atrás. Quem o envia aceitou que um erro de certificado passa a ser uma interrupção de serviço e não um aviso, o que é uma decisão que alguém teve de ter confiança suficiente para tomar.

O mecanismo foi normalizado em 2012 para fechar ataques de degradação de protocolo e de roubo de cookies, e em outubro de 2026 vemos o cabeçalho em 16 509 348 sites. Arrumá-lo na categoria Security enuncia o óbvio. A leitura mais útil é organizacional, porque a presença é prova de que alguém nessa organização percebeu um compromisso e agiu em conformidade, e isso é uma coisa rara de se poder inferir sobre um desconhecido a partir de uma análise pública.

Vários públicos compram exatamente essa inferência. Os fornecedores e as consultoras de segurança querem os domínios que não adotaram a política, porque esses domínios são o mercado endereçável para aquilo que vendem. Os analistas de conformidade e de seguros querem a vista oposta e usam a adoção como um dos dados de entrada de uma pontuação de postura para um setor ou uma cadeia de fornecimento que não conseguem auditar diretamente. Os investigadores de ameaças usam o campo para tornar a análise mais restrita, partindo do pressuposto razoável de que um domínio que impõe segurança de transporte diz alguma coisa sobre a maturidade de tudo o resto que está por trás.

Nos Estados Unidos concentram-se 9 156 474 dos domínios que enviam o cabeçalho, e o peso dos sufixos recai sobre .com. O padrão acompanha as plataformas de alojamento e os painéis de controlo que ativam a política por predefinição para os seus clientes, por isso um valor nacional elevado mede muitas vezes uma decisão do fornecedor e não uma cultura nacional de segurança. Quem construir uma comparação setorial deve manter a coluna do alojamento ao lado da coluna do país, caso contrário a conclusão será sobre infraestrutura que exibe uma bandeira que nunca escolheu.

Uma verificação domínio a domínio é gratuita e imediata, o que é precisamente o ponto. Ninguém precisa de um conjunto de dados para saber se um site concreto envia o cabeçalho. As perguntas que exigem o ficheiro são as que têm um denominador por baixo. Que proporção dos domínios de um sufixo de código de país impõe a política. Como se compara a lista de fornecedores de um banco com o seu setor no conjunto. Se a adoção dentro da base de clientes de um alojamento deu um salto depois do fornecedor ter mudado uma predefinição, e quando. Os denominadores exigem toda a população num único ficheiro, ligada aos outros marcadores na mesma linha.

O nosso registo é deliberadamente mais restrito. Anotamos que o cabeçalho estava presente na resposta que recebemos e não publicamos a sua duração, nem se abrange subdomínios, nem se o domínio consta das listas de pré-carregamento que os navegadores distribuem. Uma política de curta duração e uma de longa duração são aqui indistinguíveis. A deteção depende também de se conseguir chegar ao site, por isso bloqueios, esgotamentos de tempo e páginas intermédias produzem ausências que são recusas de resposta e não recusas de proteção. A ausência significa que não observámos o cabeçalho, o que é a afirmação honesta, e uma questão de política que dependa dos parâmetros do cabeçalho exige uma verificação dirigida para a qual este ficheiro só pode indicar o alvo.