启用HSTS并加入HSTS Preload List-附删除HSTS方法

# Apache需加载mod_header库，一般位于httpd.conf文件，搜索mod_headers并取消注释。（已加载可跳过）
LoadModule headers_module modules/mod_headers.so   #然后对应站点VirtualHost里面插入HSTS响应头信息
 
Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"

add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

location ~ [^/]\.php(/|$) {
	add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";
}

配置保存后重启 Nginx 服务。

1.3  在 Lighttpd 中配置 HSTS

将下述配置增加到你的 Lighttpd 配置文件（例如：/etc/lighttpd/lighttpd.conf）：

server.modules += ( "mod_setenv" )
$HTTP["scheme"] == "https" {
	setenv.add-response-header  = ( "Strict-Transport-Security" => "max-age=63072000; includeSubdomains; preload")
}

编辑保存后记得重启一下。

1.4  PHP通用配置 HSTS 方法

将以下代码添加到网站根目录 index.php 中或者header.php中

header("Strict-Transport-Security: max-age=63072000; includeSubdomains; preload");

开启了HSTS后，你部署SSL/TLS的服务检测得分就可能是A+以上了。ssllabs官网以及演示如下：

1. 官网：https://www.ssllabs.com/
2. 中文版：https://myssl.com
3. 测试地址：https://www.ssllabs.com/ssltest/analyze.html

二、加入HSTS Preload List

HSTS preload list是Chrome浏览器中的HSTS预载入列表，在该列表中的网站，使用Chrome浏览器访问时，会自动转换成HTTPS。Firefox、Safari、Edge浏览器也在采用这个列表。

1. https://hstspreload.org/

2.1  测试HSTS是否生效

直接打开Chrome查看网络，就可以看到头部已经包含了HSTS信息了。

2.2 做好Http跳转Https

将imotao.com以及任意二级域名都要做好Http跳转到Https，启用了HSTS后请求地址为 header 头中的 Location会显示307 ，即要求浏览器继续向 Location 的地址 POST 内容。

2.3  加入HSTS Preload List

进入hstspreload官网，输入你的域名，然后检测结果会告诉是否符合加入HSTS Preload List，没有问题的话勾选确定。

三、HSTS Preload List问题

3.1  是否成功加入HSTS Preload List

直接到下列网址搜索是否有你的域名即可：

1. https://cs.chromium.org/chromium/src/net/http/transport_security_state_static.json

当然，加入到了HSTS Preload List后，你可能还需要等待1-2月，待新版本的Chrome和Chromium、Firefox、IE等发布后，你的域名算是正式被各大浏览器承认并强制使用Https访问了，你可以在Chrome浏览器的地址框中输入“chrome://net-internals/#hsts”查看。

3.2  如何撤销HSTS Preload List

1. https://hstspreload.org/removal/

官方也提供了一个申请删除HSTS Preload List，不过需要注意的是撤销HSTS Preload List和加入HSTS Preload List一样，花费的时间可能需要几个月以上，所以申请HSTS Preload List前一定要谨慎。

四、总结

由于HSTS Preload List是一个内置于各大浏览器的Https网站列表，所以能否加入成功除了审核通过外，还得看浏览器版本的更新。一旦加入HSTS Preload List了想要退出就比较麻烦了，所以加入前一定要考虑好。也就是说开启HSTS后服务器上面的同一个根域名的所有子域名都要上Https，所以有的时候我们需要将子域名用来本地开发，每次都要配置HTTPS还是很麻烦的！而且同一个IP上网站域名都要上Https，如果你不部署也会给你强制跳转到https，导致无法打开，这真的是很麻烦。

那么哪些网站适合加入HSTS Preload List？个人博客或者网站可以来玩一玩，对于安全性要求比较高的电商网站，会员管理后台等完全可以使用HSTS Preload List，对于一些有Http需要的还是不加入得好。

虽然说https防劫持的效果很好，有的时候想要防数据劫持或广告插入不仅要看https，还要看浏览器。比如UC拉到最底下的时候会经常出现不相干的广告。所以说就算你加入了https也不是万能的，有些流氓浏览器真的没办法。广告劫持通常与DNS过程无关，即使HSTS也无法规避由DNS劫持带来的网站打开错误，这些大家也要了解一下！