Konuyu Açan
#1
Birçok sitede HSTS başlığına rastlıyorum; bazılarında da doğrudan preload listesine girme niyeti var. Güvenlik açısından faydalı, ama “HTTPS zaten çalışıyor, ekleyelim gitsin” kadar basit değil.
HSTS, tarayıcıya sonraki ziyaretlerde HTTP kullanmamasını söyler. Fakat ilk ziyarette tarayıcı bu kuralı henüz bilmiyorsa, kullanıcı o ilk bağlantı için yine HTTP’ye düşebilir. Preload listesi bu boşluğu kapatabilir; bunun karşılığında alan adını ve kapsama alınacak alt alan adlarını sürekli HTTPS sunabilecek durumda tutmanız gerekir.
Asıl gözden kaçan nokta. Örneğin ana siteniz hazır olsa bile eski bir panel, posta arayüzü ya da başka bir ekipte duran alt alan adı yalnızca HTTP destekliyorsa, tarayıcı o adrese erişimi engelleyebilir. Bir alt alan adının bugün kullanılmıyor olması da ileride yeniden devreye alınmayacağı anlamına gelmiyor.
Ayrıca preload’dan çıkma işlemi anlık bir geri alma düğmesi değil: liste güncellemelerinin tarayıcılara ulaşması zaman alabilir. Önce tüm alt alan adlarını envanterlemek, HTTPS’yi doğrulamak ve uzun süreli HSTS başlığını kademeli uygulamak daha temkinli bir yol.
Sizce preload, tüm alt alan adları üzerinde kontrolü olan siteler için varsayılan tercih mi olmalı, yoksa bakım yükü nedeniyle yalnızca özel ihtiyaçlarda mı kullanılmalı?
HSTS, tarayıcıya sonraki ziyaretlerde HTTP kullanmamasını söyler. Fakat ilk ziyarette tarayıcı bu kuralı henüz bilmiyorsa, kullanıcı o ilk bağlantı için yine HTTP’ye düşebilir. Preload listesi bu boşluğu kapatabilir; bunun karşılığında alan adını ve kapsama alınacak alt alan adlarını sürekli HTTPS sunabilecek durumda tutmanız gerekir.
Asıl gözden kaçan nokta
KOD
1includeSubDomainsAyrıca preload’dan çıkma işlemi anlık bir geri alma düğmesi değil: liste güncellemelerinin tarayıcılara ulaşması zaman alabilir. Önce tüm alt alan adlarını envanterlemek, HTTPS’yi doğrulamak ve uzun süreli HSTS başlığını kademeli uygulamak daha temkinli bir yol.
Sizce preload, tüm alt alan adları üzerinde kontrolü olan siteler için varsayılan tercih mi olmalı, yoksa bakım yükü nedeniyle yalnızca özel ihtiyaçlarda mı kullanılmalı?