So setzen Sie den HSTS-Header von .htaccess nur auf HTTPS [geschlossen]

Meine Webanwendung wird auf einer anderen Anzahl von Hosts ausgeführt, die ich steuere. Um zu verhindern, dass die Apache-Konfiguration jedes vhost geändert werden muss, füge ich den größten Teil der Konfiguration mithilfe von .htaccess-Dateien in meinem Repo hinzu, sodass die Grundeinstellung jedes Hosts nur aus wenigen Zeilen besteht. Dies ermöglicht auch das Ändern der Konfiguration beim Bereitstellen einer neuen Version. Derzeit setzt .htaccess (un) Header, schreibt etwas um und steuert das Caching der UA.

Ich möchte HSTS in der Anwendung mit .htaccess aktivieren. Das Setzen des Headers ist einfach:

Header always set Strict-Transport-Security "max-age=31536000"

In der Spezifikation heißt es jedoch eindeutig: "Ein HSTS-Host darf das STS-Headerfeld NICHT in HTTP-Antworten enthalten, die über einen nicht sicheren Transport übermittelt werden." Daher möchte ich den Header nicht senden, wenn er über HTTP-Verbindungen gesendet wird. Siehe http://tools.ietf.org/html/draft-ietf-websec-strict-transport-sec-14 .

Ich habe versucht, den Header mithilfe von Umgebungsvariablen festzulegen, bin aber dort hängen geblieben. Wer weiß, wie das geht?

Anscheinend ist eine HTTPS-Umgebungsvariable verfügbar, die einfach verwendet werden kann. Für Menschen mit der gleichen Frage:

Header set Strict-Transport-Security "max-age=31536000" env=HTTPS

Um auf der Antwort von nielsr aufzubauen, habe ich im .htaccess Folgendes verwendet, um die Empfehlungen für die sichere Bereitstellung unter https://hstspreload.org zu erfüllen, mit denen die Domain im Chrome-Browser fest codiert wird. Beachten Sie, dass dies HSTS in Ihren Subdomains erzwingt und dass die Aufnahme in die Preload-Liste nicht einfach rückgängig gemacht werden kann, also rtfm.

<IfModule mod_headers.c>
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS
</IfModule>

Sie können dies verwenden und in Ihre htaccess-Datei einfügen, um https://hstspreload.org zu erfüllen . Fügen Sie dies in Ihre .htaccess-Datei ein.

RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/$1 [R=301,L,E=HTTPS:1]
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS

Zunächst wird eine Umleitung für Nicht-https zu https durchgeführt. und leiten Sie nicht www https zu www https mit HSTS-Header um.

( http://example.com -> https://example.com -> https://www.example.com - mit HSTS-Header)

Getestet und eingehalten https://hstspreload.org

Für httpd.conf(wenn Sie Zugriff haben, um dies zu bearbeiten) können Sie verwenden

<VirtualHost 65.81.122.43:443>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubdomains;"
</VirtualHost>

HINWEIS: Sie müssen es nur auf dem HTTPS-vhost festlegen und dürfen nicht auf http vhost sein.

Wann sollte ich und sollte ich keine .htaccess-Dateien verwenden?

Wenn Sie .htaccess-Dateien zulassen, sucht Apache bei jedem Zugriff auf Ihren Server nach ihnen. Da auch übergeordnete Verzeichnisse durchsucht werden, nimmt dies einige (kleine) Zeit in Anspruch und kann die Leistung Ihres Servers beeinträchtigen. Quelle

Eine weitere Alternative besteht darin, den Header immer festzulegen und für Nicht-SSL-Verbindungen bedingt zu entfernen:

Header always set   Strict-Transport-Security "max-age=31536000" early
Header        unset Strict-Transport-Security env=!HTTPS

Dies hat den Vorteil, dass die HeaderDirektive sowohl mit der envBedingung als auch mit dem earlyFlag verwendet werden kann. Mit einer einzigen HeaderRichtlinie, envund earlynicht zusammen verwendet werden können, sind sie sich gegenseitig ausschließen (siehe offizielle Dokumentation: https://httpd.apache.org/docs/current/mod/mod_headers.html#header ).