Завантажте сайти, що використовують HSTS

Про HSTS

Більшість маркерів безпеки легко додати і так само легко прибрати. HSTS не належить до жодної з цих категорій, і саме через цю різницю колонку варто читати. Заголовок наказує браузерам відмовлятися від незахищених з'єднань із доменом протягом визначеного строку, і щойно його віддано та закешовано, швидко відкликати його вже не вийде. Оператор, який його надсилає, погодився з тим, що помилка в сертифікаті обертається недоступністю сайту, а не попередженням, і на таке рішення комусь треба було зважитися.

Механізм стандартизували у 2012 році, щоб закрити атаки з пониженням протоколу та перехопленням куків, а станом на вересень 2026 р. кількість сайтів із цим заголовком становить 44 472 033. Віднесення до категорії Security констатує очевидне. Корисніша рамка радше організаційна, бо наявність заголовка є свідченням того, що хтось усередині організації зрозумів компроміс і діяв за ним, а такий висновок про незнайомця рідко вдається зробити з публічного сканування.

Саме цей висновок купує кілька аудиторій. Постачальники рішень з безпеки та консалтингові компанії шукають домени, які політику ще не впровадили, бо такі домени і є адресним ринком для того, що вони продають. Аналітики з комплаєнсу та страхування хочуть протилежного зрізу і використовують рівень впровадження як один із входів для оцінки захищеності галузі або ланцюга постачання, який неможливо перевірити напряму. Дослідники загроз звужують за цим полем своє сканування, виходячи з розумного припущення, що домен, який примусово вмикає захист транспорту, говорить дещо про зрілість усього іншого позаду нього.

Частка Сполучених Штатів серед доменів, які надсилають заголовок, становить 24 940 276, а вага суфіксів припадає на .com. Закономірність відстежує хостингові платформи та панелі керування, що вмикають політику своїм клієнтам за замовчуванням, тож висока національна цифра часто вимірює рішення провайдера, а не національну культуру безпеки. Аналітик, який будує галузеве порівняння, має тримати колонку хостингу поруч із колонкою країни, інакше висновок вийде про інфраструктуру під прапором, якого вона не обирала.

Перевірка одного домену безкоштовна і миттєва, і в цьому вся суть. Нікому не потрібен набір даних, щоб дізнатися, чи надсилає заголовок один окремий сайт. Файл потрібен для питань, під якими лежить знаменник. Яка частка доменів у національному суфіксі примусово вмикає політику. Як список постачальників банку виглядає на тлі всієї галузі. Чи підскочило впровадження всередині клієнтської бази хостинг-провайдера після того, як провайдер змінив налаштування за замовчуванням, і коли саме. Знаменники вимагають усієї популяції в одному файлі, приєднаної до решти маркерів у тому самому рядку.

Наш запис навмисно вузький. Ми відзначаємо, що заголовок був присутній у відповіді, яку ми отримали, і не публікуємо ані його тривалості, ані того, чи охоплює він піддомени, ані того, чи є домен у списках попереднього завантаження, що постачаються з браузерами. Короткочасна політика і багаторічна виглядають тут однаково. Виявлення також залежить від того, чи вдалося дістатися сайту, тож блокування, тайм-аути та проміжні сторінки дають відсутність, яка є відмовою відповідати, а не відмовою захищатися. Відсутність означає, що ми не спостерігали заголовка, і це чесне формулювання, а питання політики, яке впирається в параметри заголовка, потребує точкової перевірки, і файл лише підкаже, куди її спрямувати.