Перенос защищенного домена HSTS
Я купил домен у незнакомца, и, похоже, он защитил домен с помощью предварительной загрузки HSTS.
Привязан ли HSTS к конкретному сертификату, который использовался при активации HSTS, или я могу просто создать новый сертификат для домен и снова активировать HSTS через .htaccess?
Можно ли использовать удаление HSTS? Я читал много сообщений о том, что удалить HSTS не так просто.
HSTS или заголовок Strict-Transport-Security указывает, что доступ к сайту возможен только через HTTPS. . В нем ничего не говорится о сертификате, поэтому вы можете просто купить новый сертификат везде, где пользователи смогут посетить ваш сайт по HTTPS.
Существует еще один метод ограничения того, какой сертификат можно использовать, Открытый ключ HTTP Пиннинг (HPKP) . Если предыдущий владелец сделал это, то вы можете использовать только исходный сертификат или сертификат от определенного ЦС.
Теоретически HSTS можно отключить , указав max-age = 0 в шапке. Однако этот заголовок может обслуживаться только через HTTPS, поэтому вам в любом случае понадобится HTTPS, чтобы отключить его.
HSTS привязан к домену (и обычно субдоменам), а не к сертификату. includeSubDomains включается в заголовок, если включены субдомены. Однако для отправки в список предварительной загрузки это необходимо, так что это будет иметь место в вашем домене.
Я бы рекомендовал сохранить HTTPS (см. здесь ). Поэтому вам следует перенаправить HTTP на HTTPS, а затем продолжить установку заголовка для всех ответов HTTPS.
Какими бы ни были ваши пожелания, вы можете обновить заголовок, чтобы установить свою собственную политику HSTS (используйте max-age = 0 , чтобы удалите принудительное использование HTTPS, но обратите внимание, что это также должно быть установлено через HTTPS), а затем повторно отправьте свой сайт в список предварительной загрузки, чтобы он был обновлен.
Если вы удалите принудительное применение HTTPS, тогда, если ваш сайт в настоящее время не поддерживает HTTPS, никто не использует список предварительной загрузки поддерживающий браузер сможет подключиться к нему до тех пор, пока ваша запись не будет обновлена и эта версия браузера не будет развернута.
Итак, короткий ответ состоит в том, что можно удалить HSTS, но a) Зачем тебе это нужно? и б) это займет некоторое время, и у вас будет для поддержки HTTPS тем временем.