A HTTPS fontosságáról már szinte mindenki hallott. A HTTPS (Hyper Text Transfer Protocol Secure) a HTTP protokoll biztonságos verziója. Amikor egy felhasználó HTTPS-t használó weboldalhoz csatlakozik, a webhely titkosítja a munkamenetet egy biztonságos réteggel. Gyakorlatilag egy extra biztonsági réteget ad a webhely munkamenetéhez, így védelmet nyújt a felhasználói adatok “lehallgatása” ellen.

Ez különösen hasznos az e-kereskedelmi, banki szolgáltatásoknál, vagy olyan oldalaknál, ahol pénzügyi tranzakciók történnek. A felhasználók számára is egyértelműen látható, hogy a webhely HTTPS-t használ-e. A böngésző cím sávjában lévő lezárt lakat azt jelenti, hogy a weboldal HTTPS-t használ, egyéb esetben egy figyelmeztetés jelenik meg, hogy a webhely nem biztonságos.

A HTTPS SEO szempontból is fontos, 2014 óta ez is egy rangsorolási tényező, a biztonságos weboldalak előnyben részesülnek a nem biztonságos weboldalakkal szemben. A HTTPS azonban nem tökéletes, ezért fontos a HSTS.

Nagyobb biztonság: HSTS

A HSTS tovább növeli a webhely biztonságát. A HTTPS-nél ugyanis van mód arra, hogy az SSL-t eltávolítsák. Ez úgy lehetséges, hogy a támadó módosítja a titkosított kapcsolatot a régebbi verzióra.

Nézzük meg mi történik ha a http://example.com oldalt átirányítunk https://example.com -ra 301-es átirányítással.

Valaki beírja a “example.com” címet a böngészőbe. Első dolog ami történik az az, hogy a böngésző megpróbálja betölteni a http://example.com oldalt, mivel nem tudja előre hogy az oldal HTTPS-t használ. Ezután találkozik az átirányítással, ami azt mondja, hogy töltse be a https://example.com oldalt. Nem tűnik nagy dolognak, de ebben a pár ezredmásodpercben valóban aggódni kell, mert a webhely sebezhetővé válik.

Erre a problémára létezik megoldás: ez a HSTS. A HSTS ugyanis kényszeríti a HTTPS betöltését. Lényegében a fenti példánál maradva a böngésző azonnal a https://example.com oldalt fogja betölteni.

Miért fontos a HSTS SEO szempontból?

Amellett, hogy a HSTS növeli a biztonságot, segíthet SEO szempontból is, ugyanis gyorsabbá teszi a webhelyet. Minden egyes lekérés megtakarításával csökkentjük a betöltési időt. A betöltési idő ma már jól ismert rangsorolási tényező, és most sokkal fontosabb mint valaha volt. A sebesség közvetlenül befolyásolja a fő mutatókat mint a webhelyen eltöltött idő, oldalletöltések száma, visszafordulási arány, és a konverzió. Ezek a mutatók nagyon fontosak SEO szempontból is, ugyanis tükrözik a felhasználói elégedettséget és a webhely minőségét. A nagy forgalmú e-kereskedelmi webhelyeknél minden ezredmásodperc változást hozhat a fő mutatókban, kiemelten a mobil forgalomnál. A Google folyamatosan azon dolgozik, hogy gyors, minőségi, felhasználóbarát oldalak legyenek a találati lista elején, így minden ezredmásodperc segítséget jelenthet a ragsorolásban is.

Hogyan használjuk a HSTS-t?

1. A HSTS-t engedélyezése tulajdonképpen egy HSTS fejléc beállításából áll. A fejlécet az oldal üzemeltetője tudja beállítani. Erre több lehetőség van, legcélszerűbb a webkiszolgáló alkalmazásban (Nginx, Apache) megtenni, Nginx esetében az „add_header” (http://nginx.org/en/docs/http/ngx_http_headers_module.html) Apache esetében a „Header set” (https://httpd.apache.org/docs/2.4/mod/mod_headers.html) konfigurációs direktíva használatával.
2. A felhasználó böngészőjének legalább egyszer találkoznia kell a HSTS fejléccel, mielőtt tudni fogja, hogy a HTTPS-t használja elsődlegesen. Tehát az első látogatás még így is a HTTP-re történik és végigmegy a fenti folyamaton. Ennek kiküszöbölésére szolgál a https://hstspreload.org/ ahová be kell küldeni a webhelyünket. A webhelynek meg kell felelnie az oldalon leírt követelményeknek.

A preload listát a Chrome hozta létre, de a legtöbb nagy böngésző is ezt használja.