# Strict-Transport-Security (HSTS)

> Strict-Transport-Security (HSTS) je HTTP hlavička, ktorá prehliadaču prikáže určitý čas používať web len cez HTTPS, aj keď niekto napíše alebo odkáže http://.

- **Číslo kontroly:** SEC2
- **Oblasť:** [Bezpečnosť](https://be1st.ai/sk/glossary/security)
- **Nástroj:** [SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit)
- **Stránka:** https://be1st.ai/sk/glossary/security/strict-transport-security-hsts

## Prečo na tom záleží

Bez HSTS je prvá návšteva cez HTTP zraniteľná voči SSL stripping útokom: útočník môže presmerovanie na HTTPS zastaviť a odpočúvať komunikáciu. S HSTS prehliadač automaticky upgraduje na HTTPS ešte pred odoslaním požiadavky.

## V praxi

GitHub.com posiela hlavičku Strict-Transport-Security: max-age=31536000; includeSubdomains; preload. Vďaka tomu sa doména github.com nachádza v HSTS preload liste, takže prehliadač nikdy nepošle HTTP požiadavku ani pri prvej návšteve.

## Ako to be1st kontroluje

Kontrola prítomnosti HTTP hlavičky Strict-Transport-Security s hodnotou max-age minimálne 31536000 (1 rok). Plný počet bodov dostane HSTS s max-age aspoň 1 rok a direktívou includeSubDomains. HSTS prikazuje prehliadaču, aby všetky budúce požiadavky na doménu automaticky posielal cez HTTPS, aj keď používateľ zadá http://.

[SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit), záložka Bezpečnosť.

Každá kontrola skončí ako: V poriadku, Varovanie, Chyba.

## Zdroje

- [Strict-Transport-Security header](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security) (MDN)
- [HTTP Strict Transport Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/HTTP_Strict_Transport_Security_Cheat_Sheet.html) (OWASP)

## Súvisiace pojmy

- [HTTPS (bezpečnosť)](https://be1st.ai/sk/glossary/security/https): HTTPS je HTTP šifrované cez TLS. Heslá, formuláre a cookies tak zostanú na ceste medzi návštevníkom a serverom súkromné.
- [Content-Security-Policy (CSP)](https://be1st.ai/sk/glossary/security/content-security-policy-csp): Content-Security-Policy (CSP) je HTTP hlavička so zoznamom zdrojov, z ktorých smie stránka načítať skripty, štýly, obrázky a rámce. Je hlavnou obranou proti XSS.
- [X-Frame-Options](https://be1st.ai/sk/glossary/security/x-frame-options): X-Frame-Options je HTTP hlavička, ktorá určuje, či iné weby smú vložiť vašu stránku do rámca. Chráni návštevníkov pred clickjackingom.
- [X-Content-Type-Options](https://be1st.ai/sk/glossary/security/x-content-type-options): X-Content-Type-Options: nosniff je HTTP hlavička, ktorá prehliadaču zakáže hádať typ súboru, takže súbor sa nespustí ako niečo iné, než ako ho server poslal.
- [Referrer-Policy](https://be1st.ai/sk/glossary/security/referrer-policy): Referrer-Policy je HTTP hlavička, ktorá určuje, akú časť aktuálnej URL pošle prehliadač iným webom, keď návštevník klikne na odkaz alebo sa načíta zdroj.
- [Permissions-Policy](https://be1st.ai/sk/glossary/security/permissions-policy): Permissions-Policy je HTTP hlavička, ktorá stránke a jej rámcom zapne alebo vypne funkcie prehliadača, napríklad kameru, mikrofón alebo polohu.