HSTS (HTTP Strict Transport Security)
Nagłówek odpowiedzi, który każe przeglądarce łączyć się z Twoją domeną tylko przez HTTPS przez ustalony czas, żeby nikt nie obniżył połączenia.
Nagłówek opisany w RFC 6797 ma max-age i opcjonalnie includeSubDomains. Po pierwszej wizycie przeglądarka sama zamienia każdy link http na https. Lista preload idzie dalej: przeglądarki mają Twoją domenę wbudowaną, więc chroniona jest nawet pierwsza wizyta, ale usunięcie z listy trwa miesiącami, więc najpierw każda subdomena musi działać po HTTPS.
Powiązane hasła
- CSP (Content Security Policy): Nagłówek HTTP, który mówi przeglądarce, jakich skryptów, stylów i połączeń wolno użyć stronie, ograniczając szkody od wstrzykniętego kodu.
- WAF (web application firewall): Filtr przed aplikacją webową, który blokuje złośliwe zapytania HTTP, zanim dotrą do kodu.
- CORS (cross-origin resource sharing): Nagłówki, które mówią przeglądarce, które inne strony mogą czytać odpowiedzi z Twojego API.
