开启HSTS(HTTP Strict Transport Security)

HSTS(HTTP Strict Transport Security) 的作用就是，当你使用了一次之后，浏览器就会记住这个选项，之后都是直接访问HTTPS。

原理是通过设置一个头部： Strict-Transport-Security: max-age=15552000; includeSubDomains 。格式是 Strict-Transport-Security: max-age=<过期时间>; includeSubDomains ， 其中 includeSubDomains 是可选的， <过期时间> 是在多少秒之后过期的意思。

如果一个网站同时提供HTTP和HTTPS两种服务，那么只要访问过HTTPS服务，在所设置的HSTS过期之前，浏览器都会直接访问HTTPS，这样 可以在一定程度上保证数据传输的安全。但是缺点也很明显，如果用户第一次访问的时候是访问HTTP服务，那么就可以在这一步进行中间人 攻击，把重定向服务中的 https:// 替换成 http:// ，这样就仍然可以监听所传输的数据。

解决方案是关闭HTTP服务，把所有的HTTP服务都重定向到HTTPS，例如Nginx中这样配置：

server {
    listen 80;

    limit_req zone=perip burst=10 nodelay;
    access_log /var/log/nginx/jiajunhuang.com.access.log;
    error_log /var/log/nginx/jiajunhuang.com.error.log;

    server_name jiajunhuang.com;

    if ($scheme != "https") {
        return 301 https://$host$request_uri;
    }
}

而Nginx中可以通过增加头部来实现HSTS：

server {
    listen 443 ssl;
    server_name www.example.com;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

如何关闭HSTS？

如果你的网站不再提供HTTPS，而你想关闭HSTS，那么必须要：

Strict-Transport-Security
<过期时间>

参考资料：

• https://zh.wikipedia.org/wiki/HTTP%E4%B8%A5%E6%A0%BC%E4%BC%A0%E8%BE%93%E5%AE%89%E5%85%A8
• https://developer.mozilla.org/zh-CN/docs/Security/HTTP_Strict_Transport_Security
• https://www.nginx.com/blog/http-strict-transport-security-hsts-and-nginx/