HSTS : HTTP Strict Transport Security

HSTS (HTTP Strict Transport Security) est un mécanisme de sécurité qui force les navigateurs à utiliser exclusivement HTTPS pour communiquer avec votre site. Une fois le header HSTS reçu, le navigateur refusera toute connexion HTTP pendant la durée spécifiée, même si l'utilisateur tape http:// explicitement.

HSTS protège contre plusieurs types d'attaques, notamment les attaques de l'homme du milieu (MITM) qui tentent de rétrograder la connexion de HTTPS vers HTTP. Sans HSTS, un attaquant sur un réseau Wi-Fi public pourrait intercepter la première requête HTTP avant la redirection vers HTTPS.

Ce guide explique comment configurer HSTS correctement, les précautions à prendre, et comment soumettre votre domaine à la preload list pour une protection maximale.

Avantages de HSTS

HSTS apporte plusieurs bénéfices de sécurité :

• Protection contre le downgrade : empêche les attaquants de forcer une connexion HTTP non sécurisée. Toutes les requêtes sont automatiquement converties en HTTPS.
• Élimination du MITM : même sur un réseau Wi-Fi non sécurisé, un attaquant ne peut pas intercepter la première requête HTTP.
• Performance améliorée : évite la redirection HTTP→HTTPS. Le navigateur va directement en HTTPS, économisant un aller-retour réseau.
• Confiance utilisateur : les navigateurs peuvent afficher un indicateur supplémentaire pour les sites avec HSTS, renforçant la confiance.

Configuration du Header HSTS

Le header HSTS se compose de plusieurs directives :

• max-age : durée en secondes pendant laquelle le navigateur doit forcer HTTPS. 31536000 (1 an) est recommandé.
• includeSubDomains : applique HSTS à tous les sous-domaines. Attention : tous vos sous-domaines doivent supporter HTTPS.
• preload : indique que vous souhaitez être ajouté à la preload list des navigateurs. Requiert les deux autres directives.
• Syntaxe complète : Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Étapes de Configuration

Suivez ces étapes pour activer HSTS progressivement :

1. Vérifiez HTTPS partout : assurez-vous que votre site et tous les sous-domaines fonctionnent correctement en HTTPS sans erreurs.
2. Commencez avec un max-age court : utilisez max-age=300 (5 minutes) pour tester. Si tout fonctionne, augmentez progressivement.
3. Ajoutez includeSubDomains : une fois certain que tous les sous-domaines supportent HTTPS, ajoutez cette directive.
4. Augmentez à 1 an et ajoutez preload : une fois stable, passez à max-age=31536000 et ajoutez preload pour soumission à la preload list.

Configuration Serveur HSTS

Voici comment configurer HSTS sur les serveurs courants :

# Nginx
server {
    listen 443 ssl http2;
    # ... configuration SSL ...

    # Header HSTS (ajuster max-age progressivement)
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
}

# Apache (.htaccess ou vhost)
<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</IfModule>

# PHP (dans votre application)
header("Strict-Transport-Security: max-age=31536000; includeSubDomains; preload");

# Vérification avec curl
curl -I https://example.com | grep -i strict

Le header doit être envoyé uniquement sur les réponses HTTPS (pas HTTP). Utilisez "always" dans Nginx pour l'inclure même sur les erreurs.

Bonnes Pratiques HSTS

Évitez les problèmes avec ces recommandations :

• Progression graduelle : commencez avec un max-age court et augmentez progressivement. Une erreur avec un long max-age peut bloquer l'accès à votre site.
• Testez tous les sous-domaines : avant d'ajouter includeSubDomains, vérifiez que CHAQUE sous-domaine a un certificat SSL valide.
• Planifiez le renouvellement SSL : avec HSTS, un certificat expiré est encore plus problématique. Assurez-vous que le renouvellement est automatique.
• Documentez votre configuration : notez quand vous avez activé HSTS et avec quels paramètres. La preload list est difficile à quitter.

Questions Fréquentes

Sécurisez avec HSTS

HSTS est une couche de sécurité essentielle pour tout site HTTPS. Configurez-le progressivement et avec précaution pour éviter de bloquer l'accès à votre site.

Avec HSTS et la surveillance SSL de MoniTao, votre site est protégé contre les attaques de downgrade et vous êtes alerté avant toute expiration de certificat.

Prêt à dormir sur vos deux oreilles ?

Commencez gratuitement, sans carte bancaire.

Créer mon compte Voir les tarifs