What is HTTP Strict Transport Secur

What is HTTP Strict Transport Security?
HTTP Strict Transport Security (HSTS, RFC 6797) is a header which allows a website to specify and enforce security policy in client web browsers. This policy enforcement protects secure websites from downgrade attacks, SSL stripping, and cookie hijacking. It allows a web server to declare a policy that browsers will only connect using secure HTTPS connections, and ensures end users do not "click through" critical security warnings. HSTS is an important security mechanism for high security websites. HSTS headers are only respected when served over HTTPS connections, not HTTP.
HSTS generally has the following behavior in user web browsers:
Insecure HTTP links become secure HTTPS links
SSL certificate warnings or other errors show an error message and cannot be bypassed by the user
Considerations
One critical consideration when using HSTS on CloudFlare is that once HSTS is turned on, your website must continue to have a valid HTTPS configuration conforming with the HSTS header to avoid making the website inaccessible to users. If SSL is disabled through other means ("grey clouding" a Flexible SSL website, or moving a website off CloudFlare), it is possible the website will be inaccessible to users for the duration of cached max-age headers, or until HTTPS is re-established and an HSTS header with value 0 is served. Consequently, HSTS configuration requires reading and acknowledging understanding of a warning message.
Max-Age Header
HSTS includes a "max-age" parameter which specifies the duration HSTS will continue to be cached and enforced by the web browser. This parameter generally is set at 6 months by default. The special value of "0" means HSTS is disabled and will no longer be cached by the client web browser. For the amount of time specified in the max-age header after a website is successfully accessed over HTTPS, the browser will enforce this HSTS policy, requiring HTTPS with correctly-configured certificates.
Including Subdomains with HSTS
CloudFlare supports the "includeSubDomains" parameter in HSTS headers. This parameter applies the HSTS policy from a parent domain (such as example.com) to subdomains (such as www.development.example.com or api.example.com). Caution is encouraged with this header, as if any subdomains do not work with HTTPS they will become inaccessible.
HSTS Preload
CloudFlare supports HSTS preload. This flag signals to web browsers that a website's HSTS configuration is eligible for preloading, that is, inclusion into the browser's core configuration. Without preload, HSTS is only set after an initial successful HTTPS request, and thus if an attacker can intercept and downgrade that first request, HSTS can be bypassed. With preload, this attack is prevented.
Once HSTS is configured, you must visit each browser's preload submission URL manually. For Chrome, Firefox/Mozilla and Safari use the Chrome preload list. Microsoft IE HSTS support is being updated.

ผลลัพธ์ (ไทย) 1:

ความปลอดภัยการขนส่ง HTTP Strict คืออะไรปลอดภัยขนส่ง HTTP Strict (HSTS, RFC 6797) เป็นหัวข้อซึ่งช่วยให้เว็บไซต์เพื่อระบุ และบังคับใช้นโยบายความปลอดภัยในไคลเอ็นต์เว็บเบราว์เซอร์ นี้บังคับใช้นโยบายปกป้องทางเว็บไซต์ลดโจมตี SSL ปอก และไฮแจ็คกี้ จะช่วยให้เว็บเซิร์ฟเวอร์เพื่อประกาศนโยบายที่เบราว์เซอร์จะเพียงเชื่อมต่อโดยใช้การเชื่อมต่อ HTTPS ทาง และเราช่วยให้ผู้ทำไม่ "ต้องผ่าน" รักษาความปลอดภัยคำเตือน HSTS เป็นกลไกการรักษาความปลอดภัยสำคัญสำหรับเว็บไซต์ความปลอดภัยสูง หัว HSTS จะยอมรับเฉพาะเมื่ออาหารผ่านการเชื่อมต่อ HTTPS, HTTP ไม่HSTS โดยทั่วไปมีลักษณะดังต่อไปนี้ในเบราว์เซอร์ของผู้ใช้:ทาง HTTPS ลิงค์เป็นลิงค์ HTTP ไม่ปลอดภัยคำเตือนใบรับรอง SSL หรือข้อผิดพลาดอื่น ๆ แสดงข้อผิดพลาด และไม่สามารถข้ามได้ โดยผู้ใช้ข้อควรพิจารณาหนึ่งพิจารณาที่สำคัญเมื่อใช้ HSTS บน CloudFlare เป็นว่า เมื่อเปิด HSTS อยู่ เว็บไซต์ของคุณต้องทำมีโครงแบบ HTTPS ถูกต้องสอดคล้องกับหัวข้อ HSTS เพื่อหลีกเลี่ยงการทำเว็บไซต์ไม่สามารถเข้าถึงผู้ใช้ ถ้าปิดใช้งาน SSL โดยวิธีอื่น ("สีเทา clouding" เว็บไซต์ SSL ที่มีความยืดหยุ่น หรือย้ายเว็บไซต์ปิด CloudFlare), เป็นเว็บไซต์จะสามารถเข้าถึงผู้ใช้สำหรับระยะเวลาของแค max-อายุหัว หรือจน กว่า HTTPS ถูกกำหนดขึ้นใหม่ และที่ หัวข้อ HSTS ด้วยค่า 0 ให้บริการ ดังนั้น การตั้งค่าคอนฟิก HSTS ต้องอ่าน และเข้าใจข้อความเตือนจิตMax-อายุหัวข้อHSTS รวมพารามิเตอร์ "สูงอายุ" ซึ่งระบุระยะเวลาที่ HSTS จะยังคงถูกเก็บไว้ และบังคับใช้ โดยเว็บเบราว์เซอร์ พารามิเตอร์นี้โดยทั่วไปตั้งไว้ที่ 6 เดือน โดยเริ่มต้น ค่าพิเศษของ "0" หมายถึง HSTS ถูกปิดใช้งาน และจะไม่ถูกแค โดยไคลเอ็นต์เว็บเบราว์เซอร์ สำหรับเวลาที่ระบุในหัวข้ออายุสูงสุดหลังจากที่ประสบความสำเร็จมีการเข้าถึงเว็บไซต์ผ่านทาง HTTPS เบราว์เซอร์จะบังคับใช้นโยบายที่ใช้ในการ HSTS นี้ ใช้ HTTPS ด้วยใบรับรองที่ถูกกำหนดค่าอย่างถูกต้องรวม Subdomains กับ HSTSCloudFlare สนับสนุนพารามิเตอร์ "includeSubDomains" ในหัวข้อ HSTS พารามิเตอร์นี้ใช้นโยบาย HSTS จากโดเมนหลัก (เช่น example.com) กับ subdomains (เช่น www.development.example.com หรือ api.example.com) ข้อควรระวังคือการสนับสนุนให้กับหัวข้อนี้ subdomains ใด ๆ ไม่สามารถใช้งานกับ HTTPS ว่า พวกเขาจะเข้าถึงโหลด HSTSCloudFlare สนับสนุน HSTS โหลด ค่าสถานะนี้สัญญาณการเบราว์เซอร์ที่ กำหนดค่าของเว็บไซต์ HSTS มีสิทธิสำหรับ preloading คือ รวมเป็นโครงหลักของเบราว์เซอร์ โดยไม่ต้องโหลด HSTS เท่านั้นไว้หลังจากการเริ่มต้นสำเร็จ HTTPS คำ และดังนั้นหากผู้โจมตีสามารถดัก และปรับลดการร้องขอแรก HSTS สามารถข้ามได้ มีโหลด โจมตีเป็นป้องกันเมื่อกำหนดค่า HSTS คุณต้องไปแต่ละบราวเซอร์โหลดส่ง URL ด้วยตนเอง โครเมี่ยม Firefox/Mozilla และ Safari ใช้ Chrome โหลดรายการ สนับสนุน Microsoft IE HSTS กำลังปรับปรุง

ผลลัพธ์ (ไทย) 2:

คือการรักษาความปลอดภัยการขนส่ง HTTP เข้มงวดอะไร
HTTP เข้มงวดการรักษาความปลอดภัยการขนส่ง (HSTS, RFC 6797) เป็นส่วนหัวซึ่งจะช่วยให้เว็บไซต์เพื่อระบุและบังคับใช้นโยบายการรักษาความปลอดภัยในเว็บเบราเซอร์ลูกค้า การบังคับใช้นโยบายนี้จะช่วยปกป้องเว็บไซต์ที่ปลอดภัยจากการโจมตีของการปรับลดลอก SSL และหักหลังคุกกี้ จะช่วยให้เว็บเซิร์ฟเวอร์ที่จะประกาศนโยบายที่เบราว์เซอร์จะเชื่อมต่อใช้การเชื่อมต่อ HTTPS ที่ปลอดภัยและเพื่อให้แน่ใจว่าผู้ใช้ไม่ได้ "คลิกผ่าน" คำเตือนความปลอดภัยที่สำคัญ HSTS เป็นกลไกการรักษาความปลอดภัยที่สำคัญสำหรับเว็บไซต์ที่มีความปลอดภัยสูง ส่วนหัว HSTS มีความเคารพนับถือเฉพาะเมื่อทำหน้าที่ผ่านการเชื่อมต่อ HTTPS ไม่ HTTP.
HSTS โดยทั่วไปมีพฤติกรรมต่อไปนี้ในการใช้งานเว็บเบราเซอร์:
การเชื่อมโยง HTTP ที่ไม่ปลอดภัยเป็น HTTPS
รักษาความปลอดภัยการเชื่อมโยงคำเตือนใบรับรองSSL หรือข้อผิดพลาดอื่น ๆ
ที่แสดงให้เห็นข้อผิดพลาดและไม่สามารถข้ามโดยผู้ใช้พิจารณา
หนึ่งในการพิจารณาที่สำคัญเมื่อใช้ HSTS บน CloudFlare คือว่าเมื่อ HSTS มีการเปิดเว็บไซต์ของคุณต้องยังคงมีการตั้งค่า HTTPS ที่ถูกต้องสอดคล้องกับส่วนหัว HSTS เพื่อหลีกเลี่ยงการทำให้เว็บไซต์ไม่สามารถเข้าถึงได้ให้กับผู้ใช้ ถ้า SSL ถูกปิดใช้งานด้วยวิธีการอื่น ๆ ("ขุ่นมัวสีเทา" เว็บไซต์ SSL ที่มีความยืดหยุ่นหรือย้ายเว็บไซต์ออก CloudFlare) ก็เป็นไปได้ที่เว็บไซต์จะไม่สามารถเข้าถึงได้กับผู้ใช้งานสำหรับระยะเวลาของแคชหัวสูงสุดอายุหรือจนกว่า HTTPS เป็นอีกครั้ง -established และส่วนหัว HSTS มีค่า 0 จะทำหน้าที่ ดังนั้นการกำหนดค่า HSTS ต้องใช้การอ่านและการยอมรับความเข้าใจในข้อความแจ้งเตือน.
หัวแม็กซ์อายุ
HSTS รวมถึง "max-age" พารามิเตอร์ที่ระบุระยะเวลา HSTS จะยังคงถูกเก็บไว้และบังคับใช้โดยเว็บเบราเซอร์ พารามิเตอร์นี้โดยทั่วไปมีการตั้งค่าเวลา 6 เดือนโดยเริ่มต้น ค่าพิเศษ "0" หมายถึง HSTS จะปิดและจะไม่ถูกเก็บไว้โดยเว็บเบราว์เซอร์ของลูกค้า สำหรับระยะเวลาที่ระบุไว้ในส่วนหัวของ max-age หลังจากที่เว็บไซต์มีการเข้าถึงได้ประสบความสำเร็จมากกว่า HTTPS, เบราว์เซอร์จะบังคับใช้นี้ HSTs นโยบายที่ต้องใช้ HTTPS มีใบรับรองอย่างถูกต้องที่กำหนด.
รวมโดเมนย่อยกับ HSTS
CloudFlare สนับสนุน "includeSubDomains" พารามิเตอร์ใน HSTS ส่วนหัว พารามิเตอร์นี้ใช้นโยบาย HSTS จากโดเมนหลัก (เช่น example.com) เพื่อย่อย (เช่น www.development.example.com หรือ api.example.com) ข้อควรระวังคือการสนับสนุนให้กับส่วนหัวนี้เช่นถ้าโดเมนย่อยใด ๆ ที่ไม่ได้ทำงานกับ HTTPS พวกเขาจะไม่สามารถเข้าถึงได้.
HSTS Preload
CloudFlare สนับสนุนพรีโหลด HSTS นี้สัญญาณธงเว็บเบราเซอร์ HSTS ว่าการกำหนดค่าของเว็บไซต์มีสิทธิได้รับการพรีโหลดที่มีการรวมเป็นหลักการตั้งค่าเบราว์เซอร์ โดยไม่ต้องโหลด, HSTS มีการตั้งค่าเฉพาะหลังจากที่การร้องขอ HTTPS ที่ประสบความสำเร็จเริ่มต้นและดังนั้นหากผู้โจมตีสามารถสกัดกั้นและลดว่าขอแรก HSTS สามารถข้าม ด้วยการโหลด, การโจมตีครั้งนี้คือการป้องกัน.
เมื่อ HSTS มีการกำหนดค่าที่คุณต้องไปส่ง URL โหลดเบราว์เซอร์ของแต่ละคนด้วยตนเอง สำหรับ Chrome, Firefox / Mozilla และ Safari ใช้รายการพรีโหลดโครเมี่ยม สนับสนุน Microsoft IE HSTS มีการปรับปรุง

ผลลัพธ์ (ไทย) 3:

อะไรคือ http การขนส่งการรักษาความปลอดภัยเข้มงวด
http เข้มงวดการขนส่งการรักษาความปลอดภัย ( hsts , RFC 6797 ) เป็นส่วนหัวซึ่งจะช่วยให้เว็บไซต์เพื่อกำหนดและบังคับใช้นโยบายการรักษาความปลอดภัยในเว็บเบราเซอร์ของลูกค้า นโยบายนี้ใช้ป้องกันเว็บไซต์ที่ปลอดภัยจากการโจมตี และการปรับลดของ SSL , คุกกี้หักหลัง .มันช่วยให้เว็บเซิร์ฟเวอร์ที่จะประกาศนโยบายที่เบราว์เซอร์จะเชื่อมต่อโดยใช้การรักษาความปลอดภัย HTTPS การเชื่อมต่อและช่วยให้ผู้ใช้ไม่ " คลิก " คำเตือนการรักษาความปลอดภัยที่สำคัญ . hsts เป็นกลไกสำคัญสำหรับเว็บไซต์การรักษาความปลอดภัยสูง hsts ส่วนหัวเท่านั้นที่เคารพเมื่อเสิร์ฟผ่าน HTTPS การเชื่อมต่อไม่ http .
hsts ทั่วไปมีพฤติกรรมผู้ใช้เว็บเบราเซอร์ดังต่อไปนี้ :
การเชื่อมโยงการเชื่อมโยงการไม่ปลอดภัย http เป็น https SSL Certificate เตือน
หรือข้อผิดพลาดอื่น ๆแสดงข้อความข้อผิดพลาดและไม่สามารถข้ามโดยผู้ใช้

ที่วิจารณ์การพิจารณาการพิจารณาเมื่อใช้ hsts ใน Cloudflare คือว่าเมื่อ hsts เปิดเว็บไซต์ของคุณต้องมีการตั้งค่าที่ถูกต้องสอดคล้องกับ hsts HTTPS ส่วนหัวเพื่อหลีกเลี่ยงการเว็บไซต์ ไม่สามารถเข้าถึงได้ให้กับผู้ใช้ถ้า SSL ถูกปิดด้วยวิธีอื่น ( " บดบัง " สีเทาแบบ SSL เว็บไซต์ หรือย้ายเว็บไซต์ปิด Cloudflare ) , มันเป็นไปได้ที่เว็บไซต์จะไม่สามารถเข้าถึงผู้ใช้สำหรับระยะเวลาของแคชสูงสุดอายุส่วนหัวหรือจนกว่า HTTPS เป็นก่อตั้งขึ้นและ hsts ส่วนหัวที่มีค่า 0 ให้บริการ จากนั้น hsts ค่าต้องอ่านและยอมรับความเข้าใจ
ข้อความแจ้งเตือนแม็กซ์อายุหัว
hsts รวมถึงพารามิเตอร์ " max อายุ " ซึ่งกำหนดระยะเวลา hsts จะยังคงถูกเก็บไว้และบังคับใช้โดยเว็บเบราเซอร์ พารามิเตอร์นี้โดยทั่วไปจะตั้งไว้ที่ 6 เดือน โดยค่าเริ่มต้น คุณค่าพิเศษของ " 0 " หมายถึง hsts ถูกปิดและจะไม่ถูกเก็บไว้โดยเว็บลูกค้าเบราว์เซอร์สำหรับระยะเวลาที่ระบุไว้ในส่วนหัวของแม็กซ์อายุหลังจากที่เว็บไซต์เรียบร้อยแล้วคือเข้าถึงได้ผ่าน HTTPS , เบราว์เซอร์จะบังคับใช้นโยบายนี้ hsts ต้อง https กับอย่างถูกต้องกำหนดค่าใบรับรอง รวมถึงซับโดเมนด้วย

hsts Cloudflare สนับสนุน " includesubdomains " พารามิเตอร์ในส่วนหัวของ hsts . พารามิเตอร์นี้จะใช้ hsts นโยบายจากผู้ปกครองโดเมน ( เช่นตัวอย่างดอทคอม ) เพื่อย่อย ( เช่น www.development.example.com หรือ API เช่น . com ) ข้อควรระวังคือ ใจกับหัวข้อนี้ ถ้าย่อยไม่ทำงานด้วย HTTPS จะกลายเป็นไม่สามารถเข้าถึงได้ hsts โหลด

Cloudflare สนับสนุน hsts โหลด . นี่ธงสัญญาณไปยังเว็บเบราเซอร์ที่เว็บไซต์ hsts ปรับแต่งสิทธิ์โหลดโปรแกรมล่วงหน้า ( preloading ) , ที่เป็น , รวมเป็นค่าหลักของเบราว์เซอร์โดยเป็นสัด hsts เพียงตั้งหลังจากประสบความสำเร็จเริ่มต้น HTTPS การร้องขอ ดังนั้นถ้าผู้โจมตีสามารถสกัดกั้นและมือตกที่ขอครั้งแรก hsts สามารถเลี่ยงผ่าน . กับโหลด โจมตีเป็นป้องกัน .
เมื่อ hsts ถูกปรับ , คุณต้องไปที่เบราว์เซอร์แต่ละโหลดส่ง URL ด้วยตนเอง สำหรับ Chrome , Firefox / Mozilla และ Safari ใช้ Chrome โหลดรายการMicrosoft IE hsts สนับสนุนการปรับปรุง