Перенаправление HSTS и Wordpress на www и без www и https - избежать множественных перенаправлений?

Подводя итог, можно сказать, что основными требованиями HSTS являются:

1. Перенаправление с HTTP на HTTPS на том же хосте. т.е. http://example.com до https://example.comиhttp://www.example.com до https:/ /www.example.com

2. Перенаправление на каноническое имя хоста (с www или без www) только для HTTPS. (т. е. после № 1 выше)

3. Отправьте заголовок HTTP-ответа Strict-Transport-Security(STS) только при использовании HTTPS. В том числе и на каноническом редиректе (№2 выше).

   (Несмотря на то, что некоторые источники утверждают, что заголовок STS должен толькоотправляться по HTTPS и даже полностью недействителен для отправки по простому HTTP, я не верю, что это так. Спецификация гласит, что UA должен просто игнорировать этот заголовок при отправке по HTTP, так что это не является «проблемой» отправить его и по HTTP. Я реализовал это ниже.)

Таким образом, это означает, что вы не можете обязательно канонизировать запрос (HTTP/HTTPS/www/не-www) в одном перенаправлении, поскольку это может нарушить пункт 1 выше.

Похоже, вы также не устанавливаете заголовок STS в коде, который вы разместили. Если вы реализуете перенаправление в Apache (конфигурация сервера или .htaccess), то вы не можете установить этот заголовок с помощью WordPress — если это то, что вы делаете?

Я немного погуглил и нашел эту ссылку, которая выглядела как решение с помощью htaccess.

Это «решение» не реализует HSTS. Единственная цель этой статьи — канонизировать запрос в одном перенаправлении. «Предупреждение» в верхней части этой статьи прямо говорит вам, что оно нарушает HSTS.

Вы также поставили директивы в неправильном порядке. Эти директивы «перенаправления» должны идти допереднего контроллера WordPress, иначе они просто не будут обрабатываться для виртуальныхURL-адресов WordPress.

Я предполагаю, что ваше каноническое имя хоста www.example.com. (Хотя в заголовке вопроса вы упомянули перенаправление на не-www, в остальной части вопроса вы перенаправляете на www?)

Я пытался использовать конфигурационный файл VirtualHosts, но безуспешно.

Хотя, возможно, проще и менее подвержено ошибкам и эффективнее реализовать это в конфигурации сервера (используя отдельные виртуальные хосты).

Например (опуская «другие» необходимые директивы):

<VirtualHost *:80>
    ServerName example.com
    # Redirect to HTTPS - same host
    Redirect 301 / https://example.com/
</VirtualHost>

<VirtualHost *:80>
    ServerName www.example.com
    # Redirect to HTTPS - same host
    Redirect 301 / https://www.example.com/
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    # Redirect to canonical host (HTTPS only)
    Redirect 301 / https://www.example.com/

    # SSL directives...

    # Set STS header on the HTTPS redirect ("always" argument is required for this)
    Header always set Strict-Transport-Security "max-age=2592000; includeSubDomains"
</VirtualHost>

<VirtualHost *:443>
    # Canonical host
    ServerName www.example.com

    # SSL directives...
    # etc.    

    # Set STS header on the HTTPS response
    Header always set Strict-Transport-Security "max-age=2592000; includeSubDomains"
</VirtualHost>

Обратите внимание, что заголовок STS в приведенном выше примере устанавливает параметр max-ageтолько на период в 1 месяц и не включает параметр предварительной загрузки. Обязательно следуйте инструкциям, приведенным в «требованиях к развертыванию» списка предварительной загрузки HSTS, если это является намерением. https://hstspreload.org/#deployment-recommendations

Альтернативно, чтобы реализовать это в .htaccess

(Примечание: я не реализовал перенаправление «косая черта в конце», поскольку вы не упомянули об этом в своих требованиях, и это просто часть кода, скопированная из внешней статьи.)

# Set HSTS env var only if HTTPS
RewriteCond %{HTTPS} on
RewriteRule ^ - [E=HSTS:1]

# Redirect HTTP to HTTPS on the same host
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

# Redirect non-www to www (HTTPS only)
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^ https://www.%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

# Set HSTS header conditionally if request is over HTTPS only (based on HSTS env var)
Header always set Strict-Transport-Security "max-age=2592000; includeSubDomains" env=HSTS

# Yoast SEO - XML Sitemap Rewrite Fix
# : (directives go here...)
# END Yoast SEO - XML Sitemap Rewrite Fix

# BEGIN WordPress
# : (directives go here...)
# END WordPress

The В директиве Headerтребуется условие always, поэтому заголовок устанавливается для ответов, отличных от 200 OK. т.е. его необходимо установить для перенаправления HTTPS 301 без www на www.

См. также мой ответ на следующий вопрос в CodeReview SE относительно реализации HSTS в .htaccess:

• https://codereview.stackexchange.com/questions/ 250805/hsts-recommendations-in-htaccess