Slovníček
HSTS
Stručně
Hlavička, kterou prohlížeči nařídíte chodit na doménu výhradně přes HTTPS. Prohlížeč si to zapamatuje na zadanou dobu.
Co dělá
Server pošle hlavičku Strict-Transport-Security a prohlížeč si po zadanou dobu vynutí HTTPS sám, ještě než požadavek odešle. Ušetří tím jedno přesměrování a zabrání útoku, který spoléhá na první nešifrovaný požadavek.
Nastavení
max-age: doba v sekundách. Začíná se na 300, cílový stav bývá rok.includeSubDomains: rozšíří pravidlo na všechny poddomény. Přidávat až nakonec.preload: zápis do seznamu, který mají prohlížeče zabudovaný. Odstranění ze seznamu trvá měsíce, takže jde o rozhodnutí nadlouho.
Časté dotazy
Proč se s ní má zacházet opatrně?
Prohlížeč si pokyn zapamatuje a nedá se zrušit ze strany serveru dřív, než uplyne zadaná doba. Když vyprší certifikát nebo potřebujete dočasně HTTP, web bude pro vracející se návštěvníky nedostupný.
Jak ji nasadit bezpečně?
Začít s krátkou dobou platnosti, například pěti minutami, ověřit, že vše funguje, a teprve pak prodlužovat na měsíce a rok. Volbu includeSubDomains přidat až na konec, když víte, že HTTPS mají i všechny poddomény.
Návody k tomuhle tématu
HTTPS a certifikát: co hlídat, aby web nespadl kvůli vypršení
HTTPS je dnes samozřejmost a jeho absence je nález. Zajímavější je, co se stane při vypršení certifikátu a jak přechod udělat bez ztráty pozic.
JavaScript a SEO: kdy robot obsah uvidí a kdy ne
Google JavaScript spustí, ale s odkladem a ne vždycky. Seznam s ním pracuje omezeně. Obsah, na kterém závisí návštěvnost, patří do HTML.
Bezpečnostní hlavičky: které nastavit a v jakém pořadí
Hlavičky se nastavují na serveru a chrání návštěvníka před tím, co se do stránky vloudí. Čtyři z nich jde zapnout bez rizika hned.
Vícejazyčný web a hreflang: jak neposlat Čecha na slovenskou verzi
Hreflang neurčuje pořadí, jen to, která jazyková verze se komu ukáže. U dvojice čeština a slovenština na tom záleží víc než jinde.
Z blogu
Proč kontrola jedné stránky nestačí a co se ukáže až při procházení
Šest druhů nálezů, které z jedné stránky nezjistíte, i kdyby byla sebedůkladněji zkontrolovaná. Rozbor s čísly z reálných kontrol.
Případová studie: migrace webu na nové adresy bez ztráty pozic
Změna struktury adres u webu se čtyřmi sty stránkami. Co se dělalo předem, co po nasazení a kde se to obvykle pokazí.
Týká se to vašeho webu?
Kontrola projde web a řekne, jestli tenhle problém máte. Trvá to necelou minutu.