Activer HSTS progressivement

HSTS indique au navigateur que, pendant la durée configurée, il ne doit revenir sur ce nom qu'en HTTPS. Le navigateur l'apprend en recevant l'en-tête sur une connexion HTTPS valide ; l'en-tête envoyé en HTTP est ignoré.

Ne l'activez pas seulement pour réussir un audit. Vérifiez d'abord que :

• Le domaine présente un certificat valide et renouvelable.
• Tout le site, y compris la connexion, les paiements, les API et les ressources, fonctionne en HTTPS.
• Il existe une redirection stable de HTTP vers HTTPS.
• Vous pouvez maintenir le HTTPS pendant toute la durée de max-age, car les visiteurs ne pourront pas ignorer une panne ultérieure.

Vous pouvez ensuite ajouter au fichier .htaccess du domaine une politique initiale courte et uniquement en HTTPS :

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=300" "expr=%{HTTPS} == 'on'"
</IfModule>

Testez le site et augmentez la valeur progressivement, par exemple à un jour puis à plusieurs mois. N'ajoutez pas includeSubDomains avant d'avoir confirmé que tous les sous-domaines actuels et futurs fonctionneront toujours en HTTPS. N'ajoutez pas preload par défaut : son retrait peut prendre du temps et impose de respecter les exigences de la liste de préchargement.

HSTS ne corrige ni le contenu mixte, ni un certificat invalide, ni une redirection incorrecte. Réglez ces problèmes avant d'étendre la politique.

Vérifier et retirer la politique

Dans les outils de développement du navigateur, ouvrez Réseau, chargez l'URL HTTPS et examinez les en-têtes de réponse du document. Une seule politique Strict-Transport-Security doit apparaître, avec la valeur choisie. Vérifiez aussi les pages qui redirigent ou renvoient une erreur. Derrière un proxy, vérifiez où se termine le TLS et placez l'en-tête dans la couche qui connaît de façon fiable le protocole du visiteur ; ne vous fiez pas à un en-tête envoyé librement par le client.

La règle ci-dessus utilise les expressions d'Apache 2.4. Si le serveur ne les accepte pas ou renvoie une erreur 500, restaurez le .htaccess précédent et contactez-nous avant d'adapter la condition.

Supprimer la ligne n'efface pas ce que les navigateurs ont déjà appris. Pour retirer une politique normale, servez max-age=0 sur un HTTPS valide ; les visiteurs qui ne reviennent pas garderont la politique jusqu'à son expiration. La politique d'un domaine parent avec includeSubDomains et le préchargement demandent un examen séparé. Consultez les exigences et le retrait de la liste de préchargement avant d'en faire la demande.