Trình phân tích HSTS

Bộ phân tích Strict-Transport-Security

Phân tích xem sự kết hợp HSTS max-age, includeSubDomains và preload có đáp ứng các yêu cầu của trình duyệt và danh sách preload hay không.

Tóm tắt phân tích

max-age
365d 0h
includeSubDomains
Yes
preload
Yes
Directive Count
3
Cấu trúc HSTS dường như không có lỗi rõ ràng

Trình tạo

max-age=31536000; includeSubDomains; preload

Xem trước JSON

{
  "directives": [
    {
      "key": "max-age",
      "value": "31536000"
    },
    {
      "key": "includesubdomains",
      "value": null
    },
    {
      "key": "preload",
      "value": null
    }
  ],
  "maxAgeSeconds": 31536000,
  "includeSubDomains": true,
  "preload": true,
  "warnings": []
}

Xem HSTS trực tuyến, trước tiên đánh giá chính sách bắt buộc HTTPS có vững không.

Đề xuất Liên quan

Kiểm Tra Chứng Chỉ SSL

Trình tạo thẻ Hreflang

Máy tính Mạng con

Sitemap Inspector

Công cụ chuyển đổi Unix Timestamp

Công cụ thời gian

Trường hợp sử dụng

  • Khi chuẩn bị bắt buộc HTTPS toàn site, trước tiên xác nhận thời gian HSTS và chính sách tên miền con có phù hợp môi trường hiện tại không
  • Khi cải tạo bảo mật, cấu hình giá trị max-age hợp lý qua trình tạo và chọn includeSubDomains
  • Tự kiểm tra cấu hình có bao gồm lệnh preload chưa trước khi đăng ký HSTS preload để đáp ứng yêu cầu trình duyệt
  • Xác nhận header phản hồi HSTS có trả về đúng không và phân tích từng lệnh khi xử lý sự cố truy cập giảm cấp HTTPS

Cách Sử dụng

  1. Dán nội dung header phản hồi HSTS vào khu phân tích, hoặc dùng trình tạo điền số giây max-age và chọn tùy chọn
  2. Xem max-age (thời gian dễ đọc), includeSubDomains, preload và cảnh báo ở chế độ phân tích
  3. Cấu hình số giây max-age, chọn includeSubDomains và preload ở chế độ tạo
  4. Sao chép nội dung HSTS đã tạo dùng cho cấu hình máy chủ hoặc ghi đè khu nhập liệu để tiếp tục gỡ lỗi

Tính năng

  • Tách rõ lệnh then chốt: Thời gian, phạm vi tên miền con, điều kiện preload không còn lẫn lộn
  • Tự kiểm tra trước khi bắt buộc HTTPS: Tránh phóng đại cấu hình sai lên toàn site ngay từ đầu
  • Tự kiểm tra trước khi preload: Giúp đánh giá sớm header HSTS có gần đạt yêu cầu preload chưa
  • Nhanh chóng hiểu cấu hình: Kết quả hiển thị trực quan, tiện developer, vận hành và nhóm bảo mật cùng xử lý

Câu hỏi Thường gặp

HSTS dùng để làm gì?

HSTS nói cho trình duyệt biết sau này chỉ dùng HTTPS truy cập site này, dùng để giảm truy cập giảm cấp và tấn công trung gian, nhưng trước khi chính sách chưa rõ ràng thì không nên áp dụng mù quáng mức tối đa.

max-age, includeSubDomains và preload lần lượt đại diện cho gì?

max-age là thời gian HSTS có hiệu lực, includeSubDomains là áp dụng cho cả tên miền con, preload liên quan đến danh sách preload của trình duyệt. Công cụ giúp bạn tách riêng từng mục.

Phù hợp kiểm tra website có đáp ứng yêu cầu HSTS preload không?

Phù hợp. Nó giúp bạn xem các trường cốt lõi có đầy đủ không, tiện đánh giá sớm có đủ điều kiện cơ bản vào danh sách preload chưa.

Tại sao phải kiểm tra HSTS trước khi triển khai?

Nếu cấu hình không đúng, có thể khiến chính sách HTTPS quá lỏng hoặc quá chặt. Phân tích một lần trước khi triển khai giúp phát hiện sớm trường bị thiếu, giá trị không hợp lý hoặc tên miền con chưa bao phủ đầy đủ.