Анализатор HSTS

Анализатор Strict-Transport-Security

Проанализируйте, соответствует ли комбинация HSTS max-age, includeSubDomains и preload требованиям браузера и списка preload.

Сводка анализа

max-age
365d 0h
includeSubDomains
Yes
preload
Yes
Directive Count
3
Структура HSTS не имеет очевидных ошибок

Конструктор

max-age=31536000; includeSubDomains; preload

Предварительный просмотр JSON

{
  "directives": [
    {
      "key": "max-age",
      "value": "31536000"
    },
    {
      "key": "includesubdomains",
      "value": null
    },
    {
      "key": "preload",
      "value": null
    }
  ],
  "maxAgeSeconds": 31536000,
  "includeSubDomains": true,
  "preload": true,
  "warnings": []
}

Онлайн-проверка HSTS — сначала оцените стабильность стратегии принудительного HTTPS.

Похожие

Проверка SSL-сертификатов

Генератор hreflang

Калькулятор подсетей

Инспектор sitemap

Конвертер Unix Timestamp

Инструмент времени

Варианты использования

  • Перед принудительным HTTPS для всего сайта проверьте, подходят ли длительность HSTS и стратегия поддоменов для текущей среды
  • При исправлении безопасности настройте разумное значение max-age через генератор и включите includeSubDomains
  • Перед подачей заявки на HSTS preload проверьте, включает ли конфигурация директиву preload, соответствуя требованиям браузеров
  • При диагностике проблем с downgrade HTTPS подтвердите корректность возврата HSTS-заголовка и разберите каждую директиву

Как использовать

  1. Вставьте содержимое HSTS-заголовка в зону парсера или используйте генератор, указав секунды max-age и выбрав опции
  2. В режиме парсинга просмотрите max-age (читаемая длительность), includeSubDomains, preload и предупреждения
  3. В режиме генерации настройте секунды max-age, включите опции includeSubDomains и preload
  4. Скопируйте сгенерированное содержимое HSTS для серверной конфигурации или перезапишите ввод для продолжения отладки

Функции

  • Ключевые директивы разложены: длительность, покрытие поддоменов, условия preload — больше не в кучу
  • Самопроверка перед принудительным HTTPS: избегайте усиления неверной конфигурации на весь сайт
  • Самопроверка перед preload: помогает заранее определить, близок ли HSTS-заголовок к требованиям preload
  • Быстрое понимание конфигурации: интуитивный вывод удобен для совместной работы разработчиков, DevOps и специалистов по безопасности

Часто задаваемые вопросы

Для чего нужен HSTS?

HSTS сообщает браузеру, что в будущем нужно использовать только HTTPS для этого сайта, снижая риски downgrade-атак и MITM. Но прежде чем включать принудительный режим, важно продумать стратегию.

Что означают max-age, includeSubDomains и preload?

max-age указывает длительность действия HSTS, includeSubDomains распространяет на поддомены, preload связан с списком предзагрузки браузеров. Инструмент помогает разобрать каждое поле.

Подходит ли для проверки соответствия требованиям HSTS preload?

Да. Помогает проверить наличие ключевых полей, для предварительной оценки готовности к вступлению в список предзагрузки.

Зачем проверять HSTS перед релизом?

Неверная конфигурация может сделать HTTPS-стратегию слишком слабой или слишком строгой. Предварительный парсинг помогает раньше обнаружить отсутствие полей, неверные значения или неполное покрытие поддоменов.