HSTS y la redirección a HTTPS

La redirección de HTTP a HTTPS es lo mínimo, pero tiene un hueco: la primera petición de una visita sale por HTTP y viaja sin cifrar, y en una red hostil alguien en medio puede responderla antes de que llegue la redirección. HSTS cierra ese hueco para las visitas siguientes: el servidor, por HTTPS, envía una cabecera con un max-age en segundos, y durante ese tiempo el navegador reescribe a HTTPS él mismo cualquier intento de ir por HTTP a ese host.

La regla que sostiene todo (RFC 6797): el navegador ignora la cabecera si le llega por HTTP sin cifrar. Solo cuenta la que se recibe por una conexión HTTPS correcta. Por eso la redirección y HSTS no se sustituyen: cada una cubre un tramo.

El valor max-age es la memoria del navegador, en segundos. Uno muy corto casi no protege: apenas pasan unos minutos y el navegador vuelve a empezar por HTTP. Para tener una protección útil se piden valores de meses o de un año.

Abre respuesta-https-tienda.txt y lee la cabecera tal como la envía la tienda.

El max-age se da en segundos y las personas piensan en días. Un año son 31536000 segundos (365 días), que es además el mínimo que pide la lista de precarga de los navegadores. Convertir es parte del trabajo del auditor: el número crudo no dice si es poco o mucho hasta que se traduce.

Abre respuesta-https-api.txt y convierte el max-age de la API a días, sabiendo que un día tiene 86400 segundos.

La directiva includeSubDomains extiende la política a todos los subdominios del dominio. Es lo que se quiere al final, pero es peligrosa si algún subdominio solo sirve HTTP: en cuanto un navegador la reciba, rehusará abrirlo, porque ya no admite HTTP en ninguno. Antes de activarla se inventarían los subdominios, y cada uno debe servir HTTPS válido.

Abre subdominios.txt y busca el que no cumple, el que se quedaría inaccesible.

HSTS se despliega por etapas, porque deshacerlo es lento: el navegador recuerda la política durante todo el max-age. Se empieza con un valor corto, se comprueba que nada se rompe, se sube a semanas y luego a un año. La directiva includeSubDomains se añade cuando todos los subdominios sirven HTTPS. Y la precarga (preload), que mete el dominio en una lista incluida en los propios navegadores, va al final, porque salir de esa lista es lento.

Los requisitos de la lista de precarga son públicos: certificado válido, redirección de HTTP a HTTPS en el mismo host, todos los subdominios por HTTPS y una cabecera con un año de max-age, includeSubDomains y preload.