HSTS süresi çok kısa

ÖnemDüşük

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_hsts_weak

Kısa cevap

Ana sayfanız bir Strict-Transport-Security başlığı gönderiyor ama max-age değeri 180 günden (15.552.000 saniye) kısa. Bu süre ziyaretsiz geçince tarayıcı kuralı unutur ve sonraki ziyaret yine araya girilebilir, şifresiz bir HTTP isteğiyle başlar. Her sayfa HTTPS ile çalışıyorsa değeri bir yıla çıkarın: max-age=31536000. Diğer güvenlik başlıkları gibi HSTS de sıralamayı etkilemez.

Neden önemli

HSTS yalnız tarayıcı onu hatırladığı sürece korur. Kısa bir max-age ile (unutulmuş 300 gibi bir deneme değeri ya da HSTS'yi kapatan max-age=0) ara sıra gelen ziyaretçiler fiilen korumasızdır: halka açık bir Wi-Fi ağında saldırgan ilk http:// isteklerini yakalayıp HTTPS'ye yönlendirmeyi ayıklayabilir. Bir yıl yaygın öneridir ve tarayıcıların HSTS preload listesi için de en düşük değerdir.

Glimana bunu nasıl tespit eder

Glimana, yönlendirmeleri izledikten sonra HTTPS ana sayfanızın Strict-Transport-Security başlığını okur. Başlık hiç yoksa bu kontrol Uygulanmaz olur; o durumu ayrı HSTS başlığı yok kontrolü ele alır. max-age 15.552.000 saniyenin (180 gün) altındaysa, 0 ya da eksik değer dahil, kontrol düşük önemle başarısız olur ve bulunan değeri gösterir; 180 gün ve üstü geçer. Geçmek için includeSubDomains ve preload gerekmez.

Nasıl düzeltilir

Dikkat

Uzun bir max-age çabucak geri alınamaz: onu görmüş tarayıcılar süre bitene kadar şifresiz HTTP'yi reddeder. Değeri ancak her sayfa ve kaynak HTTPS ile yükleniyorsa artırın; includeSubDomains değerini de yalnız posta, deneme ve iç sunucular dahil her alt alan adının geçerli sertifikası varsa ekleyin. Başlığı bir kez gönderin: hem bir eklenti hem sunucu eklerse tarayıcılar yalnız ilkini kullanır ve bu kısa değer olabilir.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Sertifika ve HTTPS grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › HSTS süresi çok kısa altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

WordPressCloudflareÖzel sunucu (Apache / Nginx)

Önce mevcut başlığın nereden geldiğini bulun: bir güvenlik ya da SSL eklentisi mi, sunucu mu. İkinci bir başlık eklemek yerine değeri orada değiştirin. Apache'de .htaccess içine (mod_headers gerekir): Header always set Strict-Transport-Security "max-age=31536000". Ardından sayfa önbelleğinizi boşaltın.

SSL/TLS › Edge Certificates › HTTP Strict Transport Security (HSTS): HSTS'yi açın, Max Age Header değerini 12 months yapıp kaydedin. Kaynak sunucunuz da başlığı gönderiyorsa orada aynı değeri kullanın ya da kaynaktan kaldırın; böylece ziyaretçiler iki farklı başlık almaz.

Nginx, HTTPS server bloğunda: add_header Strict-Transport-Security "max-age=31536000" always;. Kendi add_header satırı olan bir location bloğu devralınanları düşürür; satırı orada tekrarlayın ya da ortak bir include dosyası kullanın. Apache, HTTPS sanal sunucusunda: Header always set Strict-Transport-Security "max-age=31536000". Sonra sunucuyu yeniden yükleyin.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.