Web sitelerinizin SSL Belgesinin etkin olduğundan ve tarayıcınızdaki güvenlik kilidinin yeşil olduğundan emin olabilirsiniz. Bununla birlikte, HTTP'nin küçük güvenlik görevlisi olan HTTP Sıkı Taşımacılık Güvenliği'ni (HSTS) unutmuş olabilirsiniz.
HTTPS Nedir?
Güvenli Köprü Metni Aktarım Protokolü (HTTPS) bir web sitesinin (HTTP) güvenli bir sürümüdür. Şifreleme, Güvenli Yuva Katmanı (SSL) protokolü kullanılarak etkinleştirilir ve bir SSL sertifikasıyla doğrulanır. Bir HTTPS web sitesine bağlandığınızda, web sitesi ile kullanıcı arasında aktarılan bilgiler şifrelenir.
Bununla birlikte, HTTPS hala HSTS'nin düzeltmeye yardımcı olabileceği bazı kusurlara sahiptir.
HSTS Nedir?
HSTS, web sitelerine yalnızca HTTPS üzerinden erişilebilen bir tarayıcıyı bilgilendiren bir yanıt başlığıdır. Bu, tarayıcınızı sadece web sitesinin HTTPS sürümüne ve üzerindeki kaynaklara erişebilmeye zorlar.
SSL sertifikanızı doğru ayarlamış ve web siteniz için HTTPS'yi etkinleştirmiş olsanız bile, HTTP sürümünün hala kullanılabilir olduğunu bilmiyor olabilirsiniz. Bu, 301 Kalıcı Yeniden Yönlendirme kullanarak yönlendirme ayarlamış olsanız bile geçerlidir.
HSTS politikası bir süredir piyasada olmasına rağmen, Temmuz 2016’da Google tarafından resmi olarak yayınlanmıştır.
HSTS’yi etkinleştirmek, SSL’nin etkinleştirildiği web sitelerinde iki ek güvenlik açığı olan SSL protokol saldırılarını ve çerezleri ele geçirmeyi durdurur . Bir web sitesini daha güvenli hale getirmenin yanı sıra, HSTS, yükleme prosedüründeki bir adımı kaldırarak sitelerin daha hızlı yüklenmesini sağlar.
Web Sitenizde HSTS Nasıl Etkinleştirilir?
HSTS'yi web sitenizde etkinleştirmek için önce geçerli bir SSL sertifikasına sahip olmanız gerekir . HSTS'yi bir olmadan etkinleştirirseniz, siteniz herhangi bir ziyaretçinin kullanımına açık olmayacaktır, bu nedenle devam etmeden önce web sitenizin ve alt etki alanlarının HTTPS üzerinden çalıştığından emin olun.
HSTS'yi etkinleştirmek oldukça kolaydır. Sitenizdeki .htaccess dosyasına bir başlık eklemeniz yeterlidir.
Strict-Transport-Security: max-age=31536000; includeSubDomains
Bu , web sitenizi ve tüm alt etki alanlarını içeren bir yıllık erişim çerezini ekler. Bir tarayıcı web sitesine eriştikten sonra, web sitesinin güvenli olmayan HTTP sürümüne bir yıl boyunca erişemez. Bu etki alanındaki tüm alt etki alanlarının SSL sertifikasına dahil edildiğinden ve HTTPS'nin etkin olduğundan emin olun. Bunu unutursanız, .htaccess dosyasını kaydettikten sonra alt alan adlarına erişilemez.