HSTS安全头max-age属性含义、作用、超限影响及最佳实践咨询

嘿，咱们来把你问的HSTS里的max-age属性相关问题拆解清楚——这可是保障网站安全的关键配置，容不得含糊。下面一步步给你说明：

什么是HSTS的max-age属性 #

max-age是HTTP严格传输安全（HSTS）响应头里的必填核心属性，它以秒为单位，定义了浏览器强制使用HTTPS访问你的网站的时长。比如你提到的Strict-Transport-Security: max-age=100，意思就是接下来100秒内，不管用户是手动输入HTTP地址还是点击HTTP链接，浏览器都会自动用HTTPS请求你的站点。

max-age的核心作用 #

• 强制HTTPS访问：一旦浏览器收到带max-age的HSTS头，在有效期内会自动把所有HTTP请求转换成HTTPS，从根源上杜绝HTTP明文传输带来的窃听、篡改风险。
• 抵御降级攻击：能防止攻击者通过SSL剥离等手段，把用户的HTTPS请求降级到HTTP。在max-age有效期内，浏览器会直接忽略任何HTTP访问尝试。
• 提升访问效率：省去了HTTP跳转HTTPS的一次请求往返，重复访问的用户能更快打开你的网站。

max-age超过100的影响 #

100秒其实是非常短的有效期，超过这个值会带来这些变化：

• 更长的HTTPS强制周期：比如设成31536000（也就是1年），浏览器会在整整一年内强制用HTTPS访问你的站点。期间哪怕你临时切换回HTTP（比如服务器出故障），浏览器也会拒绝连接，直到有效期结束或者用户手动清除HSTS缓存。
• 更高的安全强度：更长的有效期意味着用户更难被降级攻击影响，尤其是那些不常访问你网站的用户，下次访问时也能保持HTTPS强制状态。
• 潜在的故障风险：如果之后你的网站无法提供有效的HTTPS服务（比如证书过期、配置错误），在max-age有效期内，用户会完全无法访问你的站点，除非他们清除浏览器的HSTS记录或者换用其他浏览器。这个值越大，容错成本就越高。

max-age设置的最佳实践 #

• 测试阶段先用短值：如果你刚启用HSTS，建议先设一个较小的值（比如86400，也就是24小时）。这样如果出现HTTPS配置问题，影响范围和时间都有限。
• 稳定后逐步延长到1年：当你确认HTTPS服务稳定运行一段时间后，可以把值逐步提升到31536000（1年），这是行业普遍推荐的安全值。
• 可选但推荐搭配includeSubDomains：如果你的所有子域名都支持HTTPS，可以加上includeSubDomains属性，比如Strict-Transport-Security: max-age=31536000; includeSubDomains，这样所有子域名也会被强制HTTPS。
• 避免设置极端长值：别设成10年这种极端值，虽然看起来安全，但一旦出现无法修复的HTTPS问题，用户会长期无法访问你的站点，风险太高。

内容的提问来源于stack exchange，提问作者allencharp