SEO-Check.vn

Từ điển

HSTS là gì?

HSTS (HTTP Strict Transport Security) là cơ chế bảo mật bắt trình duyệt chỉ kết nối với website qua HTTPS, không bao giờ “hạ cấp” xuống HTTP — ngay cả khi user gõ tay địa chỉ không

HSTS là gì?

HSTS (HTTP Strict Transport Security) là cơ chế bảo mật bắt trình duyệt chỉ kết nối với website qua HTTPS, không bao giờ “hạ cấp” xuống HTTP — ngay cả khi user gõ tay địa chỉ không có https:// hoặc bấm vào link HTTP cũ.

Vì sao cần HSTS?

Kẻ tấn công có một chiêu gọi là downgrade attack: chặn giữa đường và ép kết nối của bạn từ HTTPS rớt xuống HTTP không mã hóa, rồi đọc trộm dữ liệu (mật khẩu, thông tin thanh toán…). Nếu website chỉ “hỗ trợ” HTTPS mà không “bắt buộc” HTTPS, trình duyệt vẫn có thể bị dụ dùng HTTP.

HSTS khóa chặt cánh cửa này: ngay lần đầu truy cập thành công qua HTTPS, server gửi header HSTS dặn trình duyệt “từ nay chỉ dùng HTTPS với domain này trong X ngày”. Mọi lần sau, trình duyệt tự động nâng mọi request lên HTTPS trước khi gửi — kẻ tấn công không còn kẽ hở để chen vào.

Với SEO, HSTS là điểm cộng về độ tin cậy: Google ưu tiên website an toàn, và trình duyệt hiện cảnh báo đỏ với site không HTTPS — mất traffic trước khi kịp xếp hạng.

Ví dụ thực tế

Bạn gõ seocheck.vn (không có https://) vào thanh địa chỉ. Không có HSTS: trình duyệt thử HTTP trước, server mới redirect sang HTTPS — khoảnh khắc HTTP đầu tiên đó chính là lúc kẻ tấn công có thể xen vào. Có HSTS: trình duyệt nhớ “domain này chỉ dùng HTTPS” và đi thẳng vào phiên bản bảo mật, bỏ qua bước HTTP nguy hiểm.

Lỗi thường gặp

  • Bật HSTS khi website chưa sẵn sàng HTTPS toàn phần — các trang con, subdomain chưa có chứng chỉ sẽ bị chặn truy cập hoàn toàn.
  • Đặt max-age quá ngắn (vài phút) — tác dụng bảo vệ gần như bằng không; nên đặt ít nhất 6 tháng đến 1 năm.
  • Quên bao gồm subdomain (includeSubDomains) trong khi các subdomain vẫn chạy HTTP — tạo lỗ hổng đúng chỗ không ngờ tới.
  • Muốn gỡ HSTS rất khó: một khi trình duyệt đã “nhớ”, phải gửi header max-age=0 và chờ hết hạn trên từng thiết bị của user.
HSTS là gì? - infographic

Xem thêm

Kiểm tra ngay

Dùng extension SEO-Check quét trang của bạn để kiểm tra HSTS tự động. Tải extension miễn phí tại seocheck.vn/chrome-extension.

← Xem toàn bộ từ điển
HSTS là gì? — Từ điển SEO-Check