HTTP strict transport security

[sergey_cheban]

В копилку новых знаний:
HTTP strict transport security (HSTS)
Краткое содержание: при попытке подключения по HTTP сайт отдаёт заголовок Strict-Transport-Security, который намекает браузеру, что впредь (в течение указанного времени) на этот сайт следует ходить только по HTTPS, и ни в коем случае не по HTTP.
Не идеал, но хоть что-то...

Comments

[tobotras]

А чем это лучше редиректа на https?

[sergey_cheban]

Тем, что может завестись man-in-the-middle, который нарисует пользователю сайт без всякого HTTPS вообще. В обычном случае пользователь ничего не заметит и начнёт вводить на этом сайте логины-пароли. В случае HSTS - браузер, зная, что на этом сайте используется HSTS, предупредит пользователя.