保哥笔记

开启HSTS
1.需要先将HTTP强制跳转到HTTPS链接
2.Apache与Nginx需要添加在监听的443端口的配置文件.Vestacp是在snginx.conf里面.

Apache

编辑站点配置文件在443端口区修改为以下内容

# Optionally load the headers module:
LoadModule headers_module modules/mod_headers.so
<VirtualHost 你的IP地址:443>
    Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"
</VirtualHost>

Lighttpd
增加到Lighttpd 配置文件:/etc/lighttpd/lighttpd.conf

server.modules += ( "mod_setenv" )
$HTTP["scheme"] == "https" {
    setenv.add-response-header  = ( "Strict-Transport-Security" => "max-age=63072000; includeSubdomains; preload")
}

Nginx
Nginx最为简单,在server_name下面另起一行增加即可
LNMP编辑你的网站目录下的:/usr/local/nginx/conf/vhost/xxx.com.conf

add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

IIS
需要第三方组件:http://hstsiis.codeplex.com

修改好配置文件后,重启WEB服务器即可.

参数说明

其中：

max-age是必选参数，是一个以秒为单位的数值，它代表着HSTS Header的过期时间，通常设置为1年，即31536000秒。
includeSubDomains是可选参数，如果包含它，则意味着当前域名及其子域名均开启HSTS保护。
preload是可选参数，只有当你申请将自己的域名加入到浏览器内置列表的时候才需要使用到它。

HSTS Preload List
加入HSTS Preload List
打开:
https://hstspreload.org/

输入你的域名后点击“”Check HSTS preload status and eligibility”