HSTS là gì và vì sao lần truy cập đầu vẫn có giới hạn

From TaiNguyenSeo · 1:22

Show by TNSPODTOP1

Nhiều người bật HSTS theo thói quen rồi coi như xong. Thực tế khác. HSTS là chính sách bảo mật yêu cầu trình duyệt dùng HTTPS cho một tên miền, và hiệu lực phụ thuộc vào việc trình duyệt đã học chính sách hay chưa. Nếu bạn chưa kiểm hết tên miền con, hãy khoan mở rộng phạm vi. Một trang chính chạy HTTPS chưa nói được gì về hệ thống phụ nằm cùng tên miền. Trình duyệt phải biết chính sách thì mới áp dụng được yêu cầu dùng HTTPS. Qua kết nối HTTPS hợp lệ, máy chủ gửi tiêu đề phản hồi Strict-Transport-Security. Trình duyệt đọc tiêu đề, lưu chính sách và áp dụng trong thời hạn được chỉ định. Chỗ dễ lẫn nằm ở trước đó. Khi bạn nhập địa chỉ HTTP, trình duyệt chưa lưu HSTS vẫn có thể gửi yêu cầu HTTP tới máy chủ. Máy chủ mới trả chuyển hướng sang HTTPS. Chính sách nhận được sau đó không quay lại bảo vệ yêu cầu đã gửi. Lần sau thì khác. Khi chính sách còn hiệu lực, trình duyệt đổi địa chỉ sang HTTPS trước khi gửi yêu cầu HTTP. Riêng tên miền đã nằm trong danh sách tải trước có thể được áp dụng ngay khi trình duyệt chưa từng ghé website. Phải nhìn đúng thứ tự. Hãy hỏi “trình duyệt này đã học chính sách chưa” trước khi báo cáo. HTTPS, chuyển hướng và HSTS xử lý những phần khác nhau. HTTPS cần chứng chỉ hợp lệ và không tự đổi mọi địa chỉ HTTP. Chuyển hướng tại máy chủ hoặc CDN nhận yêu cầu rồi mới trả địa chỉ HTTPS, nên yêu cầu HTTP có thể đã được gửi đi. HSTS đã lưu nằm ở trình duyệt và chưa bảo vệ bằng chính sách chưa nhận. Danh sách tải trước phụ thuộc vào danh sách mà trình duyệt đang dùng. Vì vậy hãy giữ chuyển hướng, đừng tháo chỉ vì vừa bật thêm tiêu đề mới. Cách phối hợp là duy trì HTTPS hợp lệ, chuyển hướng HTTP sang HTTPS, rồi kiểm HSTS theo phạm vi đã chọn. Đưa từng cơ chế vào checklist kiểm HSTS trong Technical SEO giúp bạn kiểm riêng từng điều kiện. Bật thêm tiêu đề bảo mật chưa chứng minh hiệu quả SEO. Hãy đánh giá HSTS qua cấu hình đúng và khả năng truy cập website. Cần kiểm đường HTTP có dẫn về đúng HTTPS, trang đích có truy cập được và internal link có dùng địa chỉ nhất quán. Với canonical, tức khai báo URL đại diện cho nội dung, cần đối chiếu địa chỉ đó có khớp trang HTTPS mong muốn không. Search Console báo lỗi HTTP, nhưng không chứng minh trình duyệt của bạn đã lưu HSTS. Đừng đo nhầm việc. Chỉ thị max-age quyết định thời hạn trình duyệt ghi nhớ chính sách. Chọn thời hạn phải đi cùng khả năng duy trì HTTPS và xử lý sự cố. Chỉ thị includeSubDomains mở rộng chính sách xuống tên miền con, nên cần kiểm cả hệ thống phụ, không chỉ địa chỉ có www. Đừng bật theo quán tính. Chỉ thị preload không tự đưa tên miền vào danh sách tải trước. Còn tên miền con chưa xác nhận HTTPS hợp lệ, hoặc chưa rõ ai chịu trách nhiệm chứng chỉ, thì hoãn includeSubDomains. Với Nginx, kiểm ngữ cảnh cấu hình và tiêu đề thực tế ở phản hồi HTTPS. Với Apache, xác nhận mô-đun xử lý tiêu đề đang hoạt động. Có CDN hoặc proxy thì kiểm phản hồi tới trình duyệt, vì tiêu đề ở máy chủ gốc chưa chắc được giữ nguyên. Cú pháp đúng chưa đủ. Hãy chuẩn bị cách khôi phục trước khi nạp lại cấu hình. Thấy tiêu đề phản hồi chưa đủ để chốt. Bước một, xác nhận HTTPS hợp lệ, và nếu trình duyệt cảnh báo chứng chỉ thì dừng. Bước hai, dùng curl -I với URL HTTPS, tìm Strict-Transport-Security rồi đối chiếu chỉ thị với phạm vi dự kiến. Bước ba, chuẩn bị hồ sơ trình duyệt thử riêng, vì cửa sổ riêng tư chưa chắc là trạng thái sạch và tên miền có thể đã thuộc danh sách tải trước. Bước bốn, thử URL HTTP, truy cập HTTPS để nhận chính sách, rồi thử lại HTTP. Trong Chrome DevTools, quan sát mục mạng để phân biệt nâng yêu cầu nội bộ với chuyển hướng do máy chủ trả về. Kết quả mong đợi là trình duyệt nâng sang HTTPS trước khi gửi yêu cầu HTTP. Hãy ghi URL, trạng thái hồ sơ và bằng chứng theo cách ghi bằng chứng kiểm tra HSTS, thay vì chỉ ghi “đã bật”. Thanh địa chỉ không phải máy quay toàn bộ đường đi. Tăng thời hạn đồng nghĩa trình duyệt giữ quyết định lâu hơn. Trước hết kiểm kê phạm vi, gồm tên miền chính, tên miền con đang phục vụ và bên ngoài phụ trách từng phần. Chỉ rõ nơi kết thúc TLS, tức nơi xử lý kết nối HTTPS. Chưa rõ thì dừng. Sau đó theo dõi rồi mới tăng, đừng để lịch tự động quyết định chỉ vì đã đến ngày. Tải trước là quyết định riêng. Thêm preload vào tiêu đề không tự đưa tên miền vào danh sách. Bỏ tiêu đề khỏi máy chủ không lập tức xóa chính sách trình duyệt đã lưu. Nút xóa cấu hình không phải cục tẩy từ xa. Sai ở đây thì khó sửa. Khi website báo lỗi HTTPS, hãy sửa ở hệ thống phục vụ website, vì xóa trạng thái trên máy cá nhân không sửa lỗi cho người khác. Cần người rà cả phản hồi máy chủ lẫn hành vi trình duyệt thì xem cách làm của Tài Nguyên SEO. Bài gốc: https://tainguyenseo.com/hsts/ CÔNG TY TNHH TÀI NGUYÊN SEO Địa chỉ: BT T14-11, The Manhattan, KĐT Vinhomes Grand Park, Đường Nguyễn Xiển, Phường Long Bình, TP. Hồ Chí Minh Mã số thuế: 4202052216 Hotline: 0563 650 666 Email: [email protected] Website: https://tainguyenseo.com/ Giọng đọc: Piper, mô hình vi_VN vais1000 (CC BY 4.0).

More episodes of TaiNguyenSeo

More episodes

PodSearch is a free, independent podcast search engine. Read about PodSearch, the privacy policy or contact us.