¿Qué hace el header Strict-Transport-Security (HSTS)?
Opciones
- Cifra las cookies que fija el sitio
- Dice a los navegadores que usen solo HTTPS en el dominio (Opción correcta)
- Impide que la página se muestre en iframes
- Activa CORS para peticiones de otros orígenes
Respuesta
Dice a los navegadores que usen solo HTTPS en el dominio durante un periodo, lo que evita las degradaciones por SSL stripping
Por qué
Aunque tu sitio redirija de HTTP a HTTPS, la primera petición puede ir por HTTP simple, y un atacante en la red puede interceptarla y mantener al usuario en HTTP (SSL stripping).
HSTS le dice al navegador: 'durante los próximos N meses, conéctate a este dominio solo por HTTPS'. El navegador convierte entonces cada petición por sí mismo.
Recuerda
HSTS = el navegador siempre usa HTTPS en este sitio.