Le mécanisme HTTP Strict Transport Security (HSTS) permet au serveur d’indiquer au navigateur de n’accepter que des connexions HTTPS, renforçant ainsi la protection contre les interceptions et les attaques Man-in-the-Middle.
Qu’est-ce que HSTS ?
HSTS est spécifié par la norme RFC 6797 et communiqué via l’en-tête HTTP
Strict-Transport-Security.
Après la première connexion en HTTPS, le navigateur applique automatiquement
https:// à toutes les URL du domaine pendant la période définie par max-age.
Pourquoi implémenter HSTS ?
- Prévention des attaques MiTM en bloquant les requêtes HTTP non sécurisées.
- Protection contre le SSL stripping en forçant l’usage de HTTPS pour toutes les requêtes subséquentes.
- Renforcement de la confiance auprès des utilisateurs et amélioration du référencement grâce à une navigation sécurisée.
Header et directives clés
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
- max-age : durée en secondes de la politique (généralement 1 an).
- includeSubDomains : étend la politique à tous les sous-domaines.
- preload : option pour soumettre le domaine à la liste de préchargement des navigateurs.
Étapes de déploiement
- Rediriger systématiquement HTTP vers HTTPS.
- Déployer le header HSTS en mode report-only pour collecter et corriger les erreurs.
- Activer la politique en mode bloquant.
- Soumettre votre domaine au HSTS Preload List.
Exemple de configuration (nginx)
server {
listen 443 ssl;
server_name exemple.com www.exemple.com;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
# Autres directives SSL…
}
Nos services de mise en place de HSTS
Chez Dimension Internet, nous réalisons :
- l’audit et la migration complète vers HTTPS,
- la configuration et le déploiement de l’en-tête HSTS,
- le monitoring et la maintenance continue de votre politique HSTS.
Conclusion
HSTS constitue une protection essentielle contre les attaques réseau, améliore la sécurité et renforce la confiance de vos utilisateurs. Dimension Internet vous accompagne de A à Z pour un déploiement sans faille.