HSTS Preload Listesine Ekleme

HSTS, tarayıcıya bir siteye yalnızca HTTPS ile bağlanmasını söyler. Ancak tarayıcı bu başlığı ilk ziyarette henüz görmemiştir. Preload listesi bu boşluğu kapatır: alan adınız tarayıcıların içine gömülü listeye eklenir ve ilk istekten itibaren HTTPS zorunlu olur.

Uygunluk Koşulları

• Geçerli bir sertifika sunulmalıdır.
• Aynı ana bilgisayarda HTTP istekleri HTTPS'e yönlendirilmelidir.
• Tüm alt alan adları HTTPS ile çalışmalıdır.
• Ana alan adının HTTPS yanıtında Strict-Transport-Security başlığı bulunmalı; max-age en az bir yıl (31536000 sn) olmalı, includeSubDomains ve preload ifadeleri yer almalıdır.

# Nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

# Apache
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Başvuru Adımları

1. Önce başlığı kısa bir max-age ile (ör. birkaç dakika) deneyin; sorunsuzsa kademeli artırın.
2. Tüm alt alan adlarını ve iç servisleri HTTPS için denetleyin.
3. hstspreload.org adresinde alan adınızı sorgulayıp koşulları doğrulayın ve başvurun.
4. Listeye girişin tarayıcı sürümleriyle yayılması zaman alır.

Riskler

Preload geri alınması zor bir karardır; listeden çıkarma talebi de tarayıcı güncellemeleriyle aylar içinde etkili olur. Bu sürede HTTPS ile sunulamayan herhangi bir alt alan adı erişilemez hale gelir. Süresi dolmuş sertifika ise kullanıcıya atlanamaz hata gösterir, bu yüzden yenilemeyi otomatikleştirin.

Özet

Önce HTTPS'i ve yönlendirmeyi oturtun, sonra HSTS'e, en son preload'a geçin. Durumu SSL kontrol aracıyla izleyebilir, sertifika ihtiyacınız için SSL sertifikaları ve çok sayıda alt alan adı için wildcard SSL sayfalarına bakabilirsiniz.