据国外媒体信息透露，拟定计划联合全球各大主流浏览器（、、、、Edge和Opera）启动HSTS预置名单，对常用网站的顶级域名采取强制执行HTTPS安全连接。（顶级域名是指URL以.com、.org、.net、.gov、.int、.edu为后缀结尾的域名。）
近年来，一直在推进HTTPS加密协议，希望互联网能达到无处不加密的理想安全状态。今年年初，谷歌开始逐步实施将HTTP页面标记“不安全”的计划。10月开始这一措施再次加大力度，对含有文本输入表单的HTTP页面标记“不安全”配置burpsuit谷歌浏览器证书及HSTS问题处理，并将对隐身模式下的所有HTTP页面标记“不安全”。如果网站仍旧使用HTTP访问时，会在地址栏中放置一个“不安全”的指示。
什么是HSTS？
HSTS的全称是HTTP --，即：“HTTP严格传输安全”。它是一个Web安全策略机制（web ），强制客户端（如浏览器）使用HTTPS与服务器创建连接。
采用HSTS协议的网站将保证浏览器始终连接到该网站的HTTPS加密版本，不需要用户手动在URL地址栏中输入加密地址。该协议将帮助网站采用全局加密，用户每一次访问的都是该网站的安全版本。但是大前提是所有的域名都已正确部署SSL证书。
HSTS的工作机制
服务器端配置支持HSTS后，会在给客户端返回的HTTP首部中携带HSTS字段。客户端获取到该信息后，会将所有HTTP访问请求在内部做307跳转到HTTPS，整个过程而无需任何网络过程，也就是直接实现第一次TCP握手开始就是HTTPS通信。
HSTS的作用
HSTS的作用除了节省HTTPS通信RT和强制使用HTTPS，还包括：
HSTS预加载列表可以包含域、子域和顶级域名。将所有顶级域名置于列表中，浏览器将自动启动与其相关的任何域的HTTPS连接。在默认情况下，如果域已经在顶级域名级别的预载列表中，那么用户尝试进行首次连接时，可以避免不安全的攻击风险。
目前，将添加了同名的.，增加了其他44个顶级域名到HSTS预加载列表。在其控制下执行HSTS机制，强制跳转HTTPS加密安全连接。如用户访问，浏览器就是自动转到安全模式访问。
相信不久的将来，HSTS会成为网络安全的重要趋势。未来越来越多的域名注册商将顶级域名添加到HSTS预加载列表，因此SSL证书部署HTTPS加密协议的日益需求将比以往更加紧迫。数安时代（GDCA）是国内颁发SSL证书的权威机构，并已通过国际认证，具备了国际化的电子认证服务能力。其旗下的SSL证书达数十种类型配置burpsuit谷歌浏览器证书及HSTS问题处理，确保国内的企业或个人用户都能根据自主的需求选择最佳的HTTPS解决方案。
评论留言