Qu'est-ce que HSTS et comment peut-il être activé ?

HSTS (HTTP Strict Transport Security) est un mécanisme de sécurité web qui aide à protéger les sites web contre les attaques de "downgrade protocol" et de "cookie hijacking". En utilisant HSTS, le serveur web informe les navigateurs web que sur les sites où ce mécanisme est activé, la connexion doit se faire uniquement par HTTPS et jamais par HTTP, les requêtes effectuées via HTTP étant ignorées.

Étant donné qu'à la première connexion d'un client web à un site, celui-ci ne sait pas encore si la connexion se fera via HTTP ou HTTPS et attend des instructions du serveur web, il existe encore la possibilité d'une interception des communications. Pour éliminer ce risque, après l'activation de HSTS, le domaine peut être inclus dans la liste de "pré-chargement" web. Ainsi, le nom de domaine sera introduit dans le navigateur web comme ne fonctionnant que sur HTTPS.

Attention : Après avoir été ajouté à la liste "pré-chargement", le site web ne fonctionnera plus sur HTTP, mais uniquement sur HTTPS.

Plus de détails concernant les listes de "préchargement" et l'ajout ou la suppression d'un domaine de ces listes peuvent être consultés en visitant : https://hstspreload.org/.

Exemple d'implémentation de HSTS dans le fichier .htaccess du serveur web Apache :

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"