潮人地東莞seo博客小編下面跟大家分享關于seo優化博客：HSTS是怎樣等問題，希望seo專員在做seo優化的過程中有所幫助，內容僅供參考。
HSTS是英文HTTP Strict Transport Security的縮寫，意思是國際互聯網工程組織IETF正在推行一種新的Web安全協議。HSTS的作用主要是強制客戶端，特別是瀏覽器使用HTTPS與服務器創建連接。今天潮人地東莞seo博客轉載百度百科對HSTS的名詞解釋，感興趣的朋友可以多了解一下。
國際互聯網工程組織IETE正在推行一種新的Web安全協議HTTP Stric橡塑seo技術t Transport Security（HSTS），采用HSTS協議的網站將保證瀏覽器始終連接到該網站的HTTPS加密版本，不需要用戶手動在URL地址欄中輸入加密地址。該協議將幫助網站采用全局加密，用戶看到的就是該網站的安全版本。HSTS的作用是強制客戶端（如瀏覽器）使用HTTPS與服務器創建連接。
seo博客相關推薦閱讀：正規seo優化：如何優化網站關鍵詞排名到首頁?
服務器開啟HSTS的方法是，當客戶端通過HTTPS發出請求時，在服務器返回的超文本傳輸協議響應頭中包含Strict-Transport-Security字段。非加密傳輸時設置的HSTS字段無效。比如，https://xxx 的響應頭含有Strict-Transport-Security: max-age=31536000; includeSubDomains。這意味著兩點：在接下來的一年（即31536000秒）中，瀏覽器只要向xxx或其子域名發送HTTP請求時，必須采用HTTPS來發起連接。比如，用戶點擊超鏈接或在地址欄輸入 http://xxx/ ，瀏覽器應當自動將 http 轉寫成 https，然后直接向 https://xxx/ 發送請求。在接下來的一年中，如果 xxx 服務器發送的TLS證書無效，用戶不能忽略瀏覽器警告繼續訪問網站
HSTS可以用來抵御SSL剝離攻擊。SSL剝離攻擊是中間人攻擊的一種，由Moxie Marlinspike于2009年發明。他在當年的黑帽大會上發表的題為“New Tricks For Defeating SSL In Practice”的演講中將這種攻擊方式公開。SSL剝離的實施方法是阻止瀏覽器與服務器創建HTTPS連接。它的前提是用戶很少直接在地址欄輸入https://，用戶總是通過點擊鏈接或3xx重定向，從HTTP頁面進入HTTPS頁面。所以攻擊者可以在用戶訪問HTTP頁面時替換所有https://開頭的鏈接為http://，達到阻止HTTPS的目的。
HSTS可以很大程度上解決SSL剝離攻擊，因為只要瀏覽器曾經與服務器創建過一次安全連接，之后瀏覽器菏澤seo技術多少錢一個會強制使用HTTPS，即使鏈接被換成了HTTP。
另外，如果中間人使用自己的自簽名證書來進行攻擊，瀏覽器會給出警告，但是許多用戶會忽略警告。HSTS解決了這一問題，一旦服務器發送了HSTS字段，用戶將不再允許忽略警告。
用戶首次訪問某網站是不受HSTS保護的。這是因為首次訪問時，瀏覽器還未收到HSTS，所以仍有可能通過明文HTTP來訪問。解決這個不足目前有兩種方案，一是瀏覽器預置HSTS域名列表，Google Chrome、Firefox、Internet Explorer和Spartan實現了這一方案。二是將HSTS信息加入到域名系統記錄中。但這需要保證DNS的安全性，也就是需要部署域名系統安全擴展。截至2014年長春seo優化博客這一方案沒有大規模部署。
由于HSTS會在一定時間后失效（有效期由max-age指定），所以瀏覽器是否強制HSTS策略取決于當前系統時間。部分操作系統經常通過網絡時間協議更新系統時間，如Ubuntu每次連接網絡時，OS X Lion每隔9分鐘會自動連接時間服務器。攻擊者可以通過偽造NTP信息，設置錯誤時間來繞過HSTS。解決方法是認證NTP信息，或者禁止NTP大幅度增減時間。比如Windows 8每7天更新一次時間，并且要求每次NTP設置的時間與當前時間不得超過15小時。
支持的瀏覽器有：
Chromium和Google Chrome從4.0.211.0版本開始支持HSTS
Firefox 4及以上版本
Opera 12及以上版本
Safari從OS X Mavericks起
Internet Explorer從Windows 10技術預覽版開始支持，之后微軟又向IE11用戶推送了支持HSTS的更新。
以上是潮人地東莞seo博客跟大家分享關于seo優化博客：HSTS是怎樣等問題，希望能對大家有所幫助，若有不足之處，請諒解，我們大家可以一起討論關于網站seo優化排名的技巧，一起學習，以上內容僅供參考。
