Analisador de HSTS

Analisador de Strict-Transport-Security

Analise se a combinação HSTS max-age, includeSubDomains e preload atende aos requisitos do navegador e da lista de preload.

Resumo da análise

max-age
365d 0h
includeSubDomains
Yes
preload
Yes
Directive Count
3
A estrutura HSTS parece não ter erros óbvios

Construtor

max-age=31536000; includeSubDomains; preload

Visualização JSON

{
  "directives": [
    {
      "key": "max-age",
      "value": "31536000"
    },
    {
      "key": "includesubdomains",
      "value": null
    },
    {
      "key": "preload",
      "value": null
    }
  ],
  "maxAgeSeconds": 31536000,
  "includeSubDomains": true,
  "preload": true,
  "warnings": []
}

Verifique HSTS online e avalie primeiro se a política HTTPS está bem configurada.

Sugestões Relacionadas

Verificador de Certificados SSL

Gerador de tags hreflang

Calculadora de Sub-redes

Verificador de Sitemap

Conversor Unix Timestamp

Ferramenta de Tempo

Casos de uso

  • Antes de forçar HTTPS no site inteiro, confirme se a duração e a estratégia de subdomínios do HSTS são adequadas ao ambiente atual
  • Durante correções de segurança, configure um valor de max-age razoável e marque includeSubDomains
  • Antes de solicitar HSTS preload, verifique se a configuração inclui a diretiva preload para atender aos requisitos do navegador
  • Ao investigar problemas de acesso com downgrade de HTTPS, confirme se o cabeçalho de resposta HSTS está sendo retornado corretamente e analise cada diretiva

Como Usar

  1. Cole o conteúdo do cabeçalho de resposta HSTS na área de análise ou use o gerador preenchendo o valor de max-age em segundos e marcando as opções
  2. No modo de análise, veja max-age (duração legível), includeSubDomains, preload e avisos
  3. No modo de geração, configure max-age em segundos, marque includeSubDomains e preload
  4. Copie o conteúdo HSTS gerado para configuração do servidor ou sobrescreva a área de entrada para continuar depurando

Recursos

  • Instruções-chave desmontadas claramente: duração, cobertura de subdomínios e condições de preload não ficam mais misturadas
  • Autoverificação antes de forçar HTTPS: evita amplificar configurações erradas para o site inteiro
  • Autoverificação de preload: ajuda a julgar antecipadamente se o cabeçalho HSTS está próximo dos requisitos de preload
  • Entenda a configuração rapidamente: resultados intuitivos facilitam a colaboração entre dev, ops e segurança

Perguntas frequentes

Para que serve o HSTS?

HSTS informa ao navegador para acessar este site apenas via HTTPS, reduzindo ataques de downgrade e man-in-the-middle. Mas não é recomendável ativar cegamente antes de pensar bem na estratégia.

O que significam max-age, includeSubDomains e preload?

max-age indica a duração de vigência do HSTS, includeSubDomains estende a política para subdomínios e preload está relacionado à lista de pré-carregamento do navegador. A ferramenta ajuda a analisar cada item separadamente.

Serve para verificar se o site atende aos requisitos de HSTS preload?

Sim. Ajuda a verificar se os campos essenciais estão completos, facilitando a pré-avaliação das condições básicas para entrar na lista de preload.

Por que verificar HSTS antes do deploy?

Configurações inadequadas podem tornar a política HTTPS muito permissiva ou restritiva. Analisar antes do deploy ajuda a detectar campos ausentes, valores irracionais ou cobertura incompleta de subdomínios mais cedo.