HSTS nedir?

Kısa cevap

HSTS (HTTP Strict Transport Security), sunucunun HTTPS yanıtına eklediği Strict-Transport-Security header'ıyla tarayıcıya, max-age süresi boyunca o domain'e yalnızca HTTPS ile bağlanmasını bildirdiği mekanizmadır; tarayıcı bu süre içinde http:// adresleri istek göndermeden HTTPS'e çevirir ve sertifika hatasının geçilmesine izin vermez. includeSubDomains kuralı subdomain'lere yayar, preload domain'in tarayıcıların preload listesine başvurusu için gereken işarettir. TR7'de HSTS, TLS Security Profile'daki HSTS (Strict-Transport-Security header) ayarıyla ya da Manage HTTP Security Headers aksiyonuyla HTTP vService yanıtlarına eklenir.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Certificates & PKI → TLS Security Profiles → Frontend-only Settings	HSTS (Strict-Transport-Security header) (varsayılan kapalı), HSTS Duration (max-age) (varsayılan 180 gün), Include Subdomains (includeSubDomains), Browser Preload List Flag (preload)	Süresi ve yönergeleri ayarlanabilen HSTS header'ı; profil HTTP vService'in SSL Security alanında seçilir
Load Balancer → Actions (Policy Actions) → Manage HTTP Security Headers	Strict-Transport-Security (HSTS)	Sabit değerli HSTS header'ı (max-age=16000000; includeSubDomains; preload;)

Sık Karıştırılan Noktalar

• "HSTS, HTTP'den HTTPS'e redirect'in yerini tutar." Tarayıcı header'ı ancak ilk HTTPS yanıtında öğrenir; ilk ziyaret için redirect yine gerekir (HTTP'den HTTPS'e yönlendirmeyi nasıl yaparım?).
• "HSTS kolayca geri alınır." Tarayıcı kuralı max-age süresince hatırlar; preload listesine girmiş bir domain'in listeden çıkması daha da uzun sürer (RFC 6797).
• "preload işareti her süreyle eklenebilir." TR7 formu preload için en az 1 yıllık max-age ve Include Subdomains ister; aksi hâlde preload requires a max-age of at least 1 year and includeSubDomains hatası verir.
• "Profil ve aksiyon birlikte iki header üretir." vService'te aksiyon da varsa aksiyonun değeri geçerli olur; HSTS tek yerden yönetilir (HSTS'i nasıl eklerim?).

Dokümantasyonda nasıl yapılır

• TLS Security Profiles · HSTS (Strict-Transport-Security header)
• Manage HTTP Security Headers · Seçilebilir Güvenlik Başlıkları

İlgili sorular

• HSTS'i nasıl eklerim?
• Güvenlik header'larını (CSP, HSTS, X-Frame-Options) backend'e dokunmadan ekleyebilir miyim?
• HTTP security header'ları nedir?
• HTTP ile HTTPS arasındaki fark nedir?