HSTS چیست؟ تنظیم امن در آپاچی، لایت‌اسپید و NGINX

اگه سایتتون با HTTPS باز می‌شه، HSTS به مرورگر می‌گه از این به بعد فقط از اتصال امن استفاده کنه. به این شکل، مرورگر ناخواسته به HTTP برنمی‌گرده. البته تنظیم اشتباه HSTS ممکنه دسترسی به سایت یا زیردامنه‌هاتون رو برای مدتی سخت کنه؛ پس بهتره اون رو با حوصله و قدم‌به‌قدم فعال کنید.

توی این راهنما اول با زبان ساده می‌بینیم HSTS چیست و چگونه کار می‌کند. بعد سراغ پیش‌نیازها، کد مناسب برای آپاچی، لایت‌اسپید و NGINX، تفاوت includeSubDomains و preload و روش آزمایش تنظیمات می‌ریم. اگه می‌خواید با روش‌های دیگه محافظت از وردپرس هم آشنا بشید، مطالب بخش افزایش امنیت میهن وردپرس به‌دردتون می‌خوره.

HSTS چیست و چگونه کار می‌کند

HSTS کوتاه‌شده عبارت HTTP Strict Transport Security و به‌معنی «امنیت سخت‌گیرانه انتقال HTTP» هست. وب‌سرور این دستور رو به‌شکل یک هدر HTTP برای مرورگر می‌فرسته. هدر همون اطلاعات کوتاهیه که همراه پاسخ سایت فرستاده می‌شه. مرورگر دامنه رو برای مدت مشخصی به خاطر می‌سپاره و از اون به بعد فقط با HTTPS سراغش می‌ره.

قبل از فعال‌کردن HSTS باید گواهی SSL معتبر داشته باشید، نسخه HTTPS سایت بدون هشدار باز بشه و آدرس وردپرس و سایتتون هم روی HTTPS تنظیم شده باشه. HSTS جای گواهی SSL یا ریدایرکت سمت سرور رو نمی‌گیره. این هدر بعد از برقراری یک اتصال امن، مرورگر رو مجبور می‌کنه مراجعه‌های بعدی رو با HTTPS انجام بده. اگه جزئیات فنی هدر و رفتار مرورگر براتون مهمه، می‌تونید مستندات HSTS در MDN رو ببینید.

فرض کنید کاربر نشانی سایتتون رو با http:// وارد می‌کنه. اگه مرورگر قبلاً هدر معتبر HSTS این دامنه رو دریافت کرده باشه، قبل از ساخت اتصال ناامن، خودش نشانی رو به HTTPS تغییر می‌ده. ولی اگه کاربر برای اولین بار وارد سایت بشه و دامنه توی فهرست Preload مرورگر نباشه، باز هم به ریدایرکت درست HTTP به HTTPS روی سرور نیاز دارید.

پس HSTS معمولی از اولین مراجعه به‌طور کامل محافظت نمی‌کنه. اینجا یک نکته مهم هست: اضافه‌کردن کلمه preload به هدر، به‌تنهایی دامنه رو وارد فهرست مرورگرها نمی‌کنه. ثبت دامنه توی این فهرست یک کار جدا و اختیاریه که جلوتر درباره‌ش حرف می‌زنیم.

قبل از فعال‌کردن HSTS این موارد رو بررسی کنید

• همه صفحه‌های سایت باید با HTTPS و بدون خطای گواهی باز بشن.
• ریدایرکت دائمی HTTP به HTTPS باید روی سرور فعال باشه.
• فایل‌های CSS، JavaScript، فونت‌ها و تصاویر نباید از نشانی ناامن HTTP بارگیری بشن. به این مشکل «محتوای ترکیبی» یا Mixed Content می‌گن.
• باید به تنظیمات هاست یا سرور دسترسی داشته باشید و قبل از تغییر فایل پیکربندی، از اون نسخه پشتیبان بگیرید.
• اگه می‌خواید includeSubDomains رو اضافه کنید، اول مطمئن بشید تک‌تک زیردامنه‌ها با HTTPS معتبر کار می‌کنن.

اگه از درست‌بودن یکی از این موارد مطمئن نیستید، از پشتیبانی هاست بخواید HTTPS و هدر HSTS رو براتون بررسی کنه. فعال‌کردن عجولانه HSTS با یک زمان طولانی، به‌خصوص همراه includeSubDomains یا preload، می‌تونه دردسر درست کنه.

HSTS رو مرحله‌به‌مرحله فعال کنید

ویژگی max-age مشخص می‌کنه مرورگر قانون HSTS رو چند ثانیه نگه داره. بهتره با یک زمان کوتاه شروع کنید تا اگه مشکلی پیش اومد، مجبور نشید مدت زیادی برای پایان اون منتظر بمونید. برای آزمایش اول می‌تونید مقدار ۳۰۰ ثانیه رو بذارید:

Strict-Transport-Security: max-age=300

بعد از اینکه سایت رو کامل بررسی کردید، می‌تونید این مقدار رو به یک روز، بعد یک هفته و در آخر به زمان طولانی‌تری برسونید. یک روز ۸۶۴۰۰ ثانیه، یک هفته ۶۰۴۸۰۰ ثانیه و یک سال ۳۱۵۳۶۰۰۰ ثانیه هست. این افزایش تدریجی کمک می‌کنه خطاهای مربوط به گواهی، زیردامنه‌ها یا سرویس‌های قدیمی رو پیش از ماندگارشدن تنظیم پیدا کنید.

فعال‌کردن HSTS در وردپرس

HSTS در اصل یک تنظیم مربوط به وب‌سروره و گزینه‌ای داخل پیشخوان وردپرس نیست. روش دقیق فعال‌کردنش هم به نوع وب‌سرورتون بستگی داره. اگه نمی‌دونید سایتتون از چه سروری استفاده می‌کنه، از پشتیبانی هاست بپرسید یا راهنمای وب‌سرور چیست رو بخونید.

فعال‌کردن HSTS در آپاچی و لایت‌اسپید

اگه هاستتون اجازه ویرایش .htaccess رو می‌ده، وارد File Manager بشید. این ابزار توی سی‌پنل و دایرکت‌ادمین در دسترسه. پوشه public_html رو باز کنید، از فایل .htaccess نسخه پشتیبان بگیرید و بعد اون رو برای ویرایش باز کنید.

برای آزمایش اولیه، کد زیر رو به فایل اضافه کنید. عبارت always کمک می‌کنه هدر روی پاسخ‌های بیشتری، از جمله بعضی پاسخ‌های خطا، فرستاده بشه. این کد فقط وقتی هدر رو می‌فرسته که اتصال فعلی HTTPS باشه:

<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=300" env=HTTPS
</IfModule>

فایل رو ذخیره کنید و بعد سایت رو آزمایش کنید. اگه هدر نمایش داده شد و همه بخش‌ها درست کار کردن، مقدار max-age رو کم‌کم بالا ببرید. بعد از آزمایش کامل می‌تونید مقدار یک‌ساله زیر رو بذارید:

<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=31536000" env=HTTPS
</IfModule>

نحوه اثرگذاری دستور Header به تنظیمات سرور و نسخه ماژول‌ها هم بستگی داره. اگه کد باعث خطای ۵۰۰ شد یا هدر نمایش داده نشد، تغییر رو برگردونید و از پشتیبانی هاست کمک بگیرید. جزئیات این دستور توی مستندات رسمی Apache mod_headers نوشته شده.

فعال‌کردن HSTS در وب‌سرور NGINX

اگه سرور مجازی یا اختصاصی با NGINX دارید، فایل تنظیم مربوط به سایت رو باز کنید و دستور زیر رو فقط داخل بخش HTTPS همون سایت بذارید. بخش HTTPS معمولاً همون بلوکیه که روی پورت ۴۴۳ گوش می‌ده و گواهی SSL هم داخلش تنظیم شده:

add_header Strict-Transport-Security "max-age=300" always;

اول مطمئن بشید پیکربندی NGINX درسته و بعد سرویس رو دوباره بارگذاری کنید. وقتی دیدید سایت بدون مشکل کار می‌کنه، مقدار max-age رو به‌تدریج بالا ببرید. نمونه نهایی یک‌ساله به این شکله:

add_header Strict-Transport-Security "max-age=31536000" always;

پارامتر always باعث می‌شه NGINX هدر رو به کدهای پاسخ بیشتری اضافه کنه. اگه می‌خواید رفتار دقیق دستور add_header رو ببینید، به مستندات رسمی NGINX سر بزنید. اگه تجربه مدیریت سرور ندارید، بهتره این تغییر رو به مدیر سرور بسپارید.

چه زمانی includeSubDomains رو اضافه کنیم

گزینه includeSubDomains قانون HSTS رو روی همه زیردامنه‌ها هم فعال می‌کنه. مثلاً اگه اون رو برای دامنه اصلی بذارید، زیردامنه‌هایی مثل shop.example.com و mail.example.com هم باید همیشه با HTTPS معتبر باز بشن.

این گزینه رو فقط وقتی اضافه کنید که همه زیردامنه‌های فعلی و سرویس‌هایی که شاید بعداً بسازید، از HTTPS پشتیبانی کنن. اگه حتی یک زیردامنه قدیمی بدون HTTPS دارید، فعال‌کردن این گزینه ممکنه اون رو برای مرورگرهایی که سابقه HSTS دارن از دسترس خارج کنه.

Strict-Transport-Security: max-age=31536000; includeSubDomains

HSTS Preload چیست و آیا به اون نیاز دارید

HSTS Preload فهرستی از دامنه‌هاست که داخل مرورگرهای پشتیبانی‌شده قرار می‌گیره. با این روش، مرورگر حتی در اولین مراجعه هم برای ساخت اتصال HTTP تلاش نمی‌کنه. ولی فقط اضافه‌کردن واژه preload به هدر، دامنه رو توی این فهرست ثبت نمی‌کنه. باید همه شرایط لازم رو کامل کنید و دامنه رو جداگانه برای بررسی بفرستید.

این قابلیت برای همه سایت‌ها لازم نیست و برگشتن از اون هم فوری انجام نمی‌شه. طبق راهنمای سرویس رسمی HSTS Preload، دامنه باید HTTPS معتبر، ریدایرکت درست، max-age حداقل یک‌ساله، includeSubDomains و preload داشته باشه. همه زیردامنه‌ها هم باید برای اجبار HTTPS آماده باشن.

قبل از ثبت دامنه، اثر این تصمیم روی زیردامنه‌های ایمیل، پنل‌ها، APIها و سرویس‌های داخلی رو بررسی کنید. حذف دامنه از فهرست و رسیدن این تغییر به مرورگرهای کاربران ممکنه زمان زیادی بگیره. پس preload رو به کد پیش‌فرض اضافه نکنید، مگر اینکه پیامدهاش رو کامل سنجیده باشید.

چطور مطمئن بشیم HSTS فعال شده

برای آزمایش آنلاین، وارد ابزار تست HSTS در Geekflare بشید، دامنه رو وارد کنید و آزمایش رو اجرا کنید. نتیجه باید هدر Strict-Transport-Security و مقدار max-age رو نشون بده.

راه دوم اینه که از ابزار توسعه‌دهنده مرورگر کمک بگیرید. سایت رو با HTTPS باز کنید، کلید F12 رو بزنید و وارد بخش Network بشید. صفحه رو دوباره بارگذاری کنید، درخواست اصلی صفحه رو انتخاب کنید و توی Response Headers دنبال Strict-Transport-Security بگردید.

اگه به خط فرمان دسترسی دارید، دستور زیر هم هدرهای پاسخ رو نشون می‌ده. فقط به‌جای دامنه نمونه، نشانی واقعی سایتتون رو بنویسید:

curl -I https://example.com

یادتون نره که دیدن ریدایرکت HTTP به HTTPS، به‌تنهایی فعال‌بودن HSTS رو ثابت نمی‌کنه. باید خود هدر رو روی پاسخ HTTPS ببینید. هدر HSTS روی پاسخ HTTP معتبر نیست و مرورگر هم اون رو نادیده می‌گیره.

اگه تنظیم HSTS مشکل ساخت چه‌کار کنیم

اگه از اول با زمان کوتاه شروع کرده باشید، می‌تونید هدر رو حذف کنید و تا پایان max-age منتظر بمونید. برای مرورگرهایی که هنوز از راه HTTPS به سایت دسترسی دارن، فرستادن موقت هدر زیر سابقه HSTS دامنه رو پاک می‌کنه:

Strict-Transport-Security: max-age=0

این کار مشکل گواهی خراب رو دور نمی‌زنه، چون مرورگری که سابقه HSTS داره اجازه عبور از هشدار گواهی رو نمی‌ده. اگه includeSubDomains یا Preload رو فعال کرده باشید، برگردوندن وضعیت پیچیده‌تر می‌شه. به همین دلیله که آزمایش مرحله‌ای و آماده‌بودن همه زیردامنه‌ها اهمیت زیادی داره.

جمع‌بندی

HSTS به مرورگر می‌گه سایتتون رو فقط با HTTPS باز کنه و اجازه برگشت به اتصال ناامن رو نمی‌ده. برای فعال‌کردن امن اون، اول HTTPS و ریدایرکت‌ها رو کامل بررسی کنید. بعد با max-age کوتاه شروع کنید و زمان رو کم‌کم بالا ببرید. includeSubDomains و preload هم گزینه‌های اختیاری و حساسی هستن؛ پس فقط وقتی سراغشون برید که از وضعیت همه زیردامنه‌ها مطمئنید.

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.