HSTS (HTTP Strict Transport Security), tarayıcıya "bu siteye yalnızca HTTPS ile bağlan" talimatı veren bir güvenlik başlığıdır. Doğru yapılandırıldığında SSL stripping ve protokol düşürme saldırılarına karşı koruma sağlar; ancak yanlış ayarlanırsa siteye erişimi tamamen engelleyebilir.
HSTS Başlığı Nasıl Görünür?
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload- max-age: Tarayıcının kuralı hatırlayacağı süre (saniye).
- includeSubDomains: Tüm alt alan adlarını da kapsar.
- preload: Tarayıcıların ön-yükleme listesine eklenmeyi ister.
Sık Yapılan Hatalar
- Çalışmayan HTTPS ile açmak: Sertifika sorunları çözülmeden HSTS eklerseniz kullanıcılar siteye hiç giremez; HTTPS tam çalışır hâle gelmeden HSTS açmayın.
- includeSubDomains'i erken açmak: HTTPS'i olmayan bir alt alan adınız varsa o alan erişilemez hâle gelir.
- Yüksek max-age ile preload: Geri dönmesi zordur; önce düşük süreyle test edin.
Güvenli Yaklaşım
Önce tüm alan ve alt alan adlarında HTTPS'i sorunsuz çalıştırın, ardından düşük max-age ile başlayıp kademeli artırın. Kurulum ve yönlendirme için SSL rehberlerimize, uygun sertifika için SSL sertifikaları sayfamıza bakabilirsiniz.