如何开启hsts网站安全功能

　　【如何开启hsts网站安全功能】HSTS的出现，在带来安全、便捷的同时，咱们也需要谨慎操作，因为如果某个参数设置不当，就有可能将导致网站长时间无法访问，那损失就大了。

　　所以只要咱们能够分析明白、理解透彻，根据自身情况，合理设置每个参数，就可以达到预想的效果，既能保证安全，又可以提升网站访问效率。

　　HSTS理解起来也比较容易，它是通过服务器发送一个响应头的方式来控制浏览器操作的，咱们先来看一下HSTS响应头的构成：

　　Strict-Transport-Security:max-age=expireTime[;includeSubDomains][;preload]

　　此响应头只有在https访问返回时才生效，其中[]中的参数表示可选

　　max-age：HSTS功能生效时间，单位是秒，也就是说在这段时间内，浏览器将始终强制采用HTTPS来访问相应的网址

　　includeSubDomains：如果指定，则表示域名(例如：33mulu.com)对应的每个子域名(例如：www.33mulu.com或123.example.33mulu.com)，浏览器在访问时也都会强制采用HTTPS进行访问

　　preload：如果指定，则表示此域名同意申请加入由Google发起的PreloadList，申请地址。

　　举例如下：

　　2、实现方式

　　上述说明，可能不是很好理解，那咱们就拿一个实际的例子来说明一下：

　　1)当只有max-age参数时，设置时间为300秒

　　作用是：在这300秒内，只要用户在浏览器中输入zzx1…..club/123.gif，则浏览器会自动强制使用https://zzx1….club/123.gif进行访问

　　(注意：这里的时间设置不宜过长，一般建议为6个月。

　　如果设置很长，而域名某天不再使用https，且时间并未过期，则将导致用户无法访问)

　　大家抓包时可能会发现，有一个307的状态码，这个和上述301/302状态码不同，它并不是服务器返回的，而是浏览器本地自动生成，即在浏览器本地自动发生了http到https的跳转，与网站服务器没有任何交互。

　　响应头中：Non-Authoritative-Reason:HSTS，也标明了是因为HSTS功能的缘故，导致浏览器本地发生了http到https的跳转。

　　2)当有includeSubDomains参数时

　　作用是告诉浏览器，当用户访问域名的(例如：33mulu.com)每个子域名(例如：www.33mulu.com或123.example.33mulu.com)时，浏览器也必须强制采用HTTPS进行访问。

　　注意：如上所述，此参数影响范围较大，如果某些子域名没有启用https，则将导致无法访问，所以添加请谨慎!