未强制执行 Strict-Transport-Security (HSTS)

描述

HTTP Strict-Transport-Security 响应标头（简称 HSTS）允许网站告诉浏览器只能使用 HTTPS 而不是 HTTP 来访问它。

要利用此漏洞，攻击者必须拦截并修改来自目标的网络流量。

这需要客户端通过不安全的连接（例如公共 Wi-Fi）与服务器进行通信。

服务器必须将 Strict-Transport-Security 标头添加到所有 HTTP 响应中，以指示浏览器使用传输安全。

HSTS 仅在首次使用后生效，从未访问过该应用程序的用户仍然容易受到 SSL 剥离（SSL stripping）攻击。

使用 Ostorlab 检测此问题

Ostorlab 会检查 Web 应用、API 和网络是否存在此问题。