HSTS preload listesi, tarayıcıların içine gömülü bir alan adı listesidir; listedeki alan adlarına ilk ziyarette bile yalnızca HTTPS ile bağlanılır. Normal HSTS'nin "ilk ziyaret" açığını kapatır, ancak geri dönüşü zordur; başvurmadan önce hazır olun.
Başvuru koşulları
- Geçerli bir sertifika sunulmalı.
- HTTP'den aynı ana bilgisayarda HTTPS'ye yönlendirme yapılmalı.
- Tüm alt alan adları HTTPS ile sunulmalı.
- Kök alan adının HTTPS yanıtında HSTS başlığı bulunmalı; max-age en az bir yıl (31536000),
includeSubDomainsvepreloadyönergeleri eklenmiş olmalı.
Strict-Transport-Security: max-age=31536000; includeSubDomains; preloadAdım adım süreç
- Envanter çıkarın: tüm alt alan adları (iç araçlar, eski kampanya siteleri dahil) HTTPS destekliyor mu?
- Başlığı önce preload olmadan, kademeli artan max-age ile test edin.
- Nihai başlığı ekleyin ve doğrulayın:
curl -sI https://alanadi.com | grep -i strict-transport
curl -sI http://alanadi.com | head -n 3- Başvuruyu hstspreload.org adresindeki resmi formdan yapın; araç koşulları otomatik denetler.
- Listeye girişin tarayıcı sürümlerinin güncellenmesiyle yayıldığını, bunun zaman aldığını unutmayın.
Riskler
- Listeden çıkmak da aynı şekilde yavaştır; hatalı başvuru uzun süre etkili olabilir.
- HTTPS'e hazır olmayan bir alt alan adı, preload sonrası tarayıcılarda erişilemez hale gelir.
- Sertifika süresi dolarsa kullanıcılar hatayı atlayamaz; yenilemeyi otomatik izleyin.
Preload, yüksek güvenlik gereken kurumsal siteler için güçlü bir katmandır, ancak bilinçli karar ister. Önce SSL Checker ile mevcut durumunuzu denetleyin; geçerli ve zamanında yenilenen sertifika için SSL sertifikaları sayfamıza bakın.