Генератор заголовка HSTS для предзагрузки
Создайте заголовок ответа Strict-Transport-Security (HSTS) из max-age, includeSubDomains и preload и проверьте, соответствует ли он требованиям hstspreload.org для добавления в список предзагрузки.
Ввод
Как долго (в секундах) браузеры должны использовать только HTTPS. Для добавления в список предзагрузки требуется не менее 31536000 (1 год).
Вывод
Вставьте это в конфигурацию заголовков ответа вашего сервера.
Соответствует ли заголовок требованиям директив hstspreload.org.
Другие способы использовать этот инструмент
REST API
curl -X POST https://api.iotools.cloud/v1/tool/hsts-preload-header-generator \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"maxAge": "31536000",
"includeSubDomains": "true",
"preload": "true"
}'Подставьте свой собственный ключ из аккаунта. Поля инструмента — это тело запроса, без обёртки.
Спросите у ИИ-агента
Use the IOTools `hsts-preload-header-generator` tool (HSTS Preload Header Generator) on this input:
YOUR_INPUT_HEREВставьте это любому агенту, подключённому к MCP-серверу IOTools, и добавьте свой ввод.
Виджет для встраивания
<iframe
src="https://iotools.cloud/embed/hsts-preload-header-generator/"
width="100%" height="520" frameborder="0" scrolling="no" loading="lazy"
title="Генератор заголовка HSTS для предзагрузки — iotools.cloud"
sandbox="allow-scripts allow-forms allow-same-origin allow-downloads allow-popups allow-popups-to-escape-sandbox"
allow="clipboard-write"
style="width:100%;border:1px solid #e5e7eb;border-radius:12px;overflow:hidden"></iframe>
<script src="https://iotools.cloud/embed.js" async></script>Вставьте это на свою страницу — бесплатно, без ключа, нужна лишь обратная ссылка.
| Стоимость вызова API/MCP | От 5 кредитов |
|---|---|
| Нужно больше кредитов? | Посмотреть тарифы |
Также доступно через
Руководства
Генератор заголовка HSTS для предзагрузки формирует корректно оформленный HTTP-заголовок ответа Strict-Transport-Security и в режиме реального времени сообщает, подходит ли результат для списка предзагрузки браузеров на hstspreload.org. Задайте max-age, включите includeSubDomains и preload и скопируйте заголовок прямо в конфигурацию вашего сервера.
Что такое HSTS?
HTTP Strict Transport Security (HSTS), описанный в RFC 6797, — это заголовок ответа, который указывает браузерам подключаться к вашему сайту только по HTTPS. Получив заголовок Strict-Transport-Security, браузер в течение max-age отказывается от обычных HTTP-соединений с этим хостом и автоматически переписывает запросы http:// на https:// до того, как они покинут устройство. Это защищает от атак понижения протокола, SSL-stripping и перехвата cookie через небезопасные соединения.
Что такое предзагрузка HSTS?
Даже при включённом HSTS первый визит пользователя — до получения какого-либо заголовка — всё ещё может пройти по HTTP, оставляя небольшое окно для атаки. Предзагрузка закрывает этот пробел. Домены из списка предзагрузки HSTS встроены в Chrome, Firefox, Safari, Edge и другие браузеры, поэтому они воспринимаются как работающие только по HTTPS уже с первого запроса, без предварительного визита.
Как пользоваться инструментом
- Введите
max-ageв секундах. Значение по умолчанию,31536000, — это один год, минимальный срок для предзагрузки. - Установите флажок
includeSubDomains, чтобы распространить политику на все поддомены. - Установите флажок
preload, чтобы отметить домен как кандидата в список предзагрузки. - Скопируйте сформированный заголовок из поля вывода и добавьте его в конфигурацию веб-сервера или приложения.
Панель «Право на предзагрузку» проверяет ваши директивы по правилам подачи заявки и отмечает всё, чего не хватает.
Справочник директив
max-age=<секунды>— обязательна. Как долго браузеры применяют режим только HTTPS для хоста.includeSubDomains— необязательна, но обязательна для предзагрузки. Распространяет политику на все поддомены.preload— выражает согласие на включение в списки предзагрузки браузеров.
Каковы требования hstspreload.org?
Чтобы заголовок был принят, он должен задавать max-age не менее 31536000 (один год) и включать includeSubDomains и preload. Кроме того, сайт должен отдавать действительный сертификат HTTPS и перенаправлять весь HTTP-трафик на HTTPS на том же хосте. Инструмент проверяет требования к директивам; требования к сертификату и перенаправлению нужно подтвердить на собственном сервере.
Можно ли отменить предзагрузку?
Не легко. Запросы на удаление могут распространяться через выпуски браузеров месяцами, и всё это время браузер будет отказываться от любого HTTP-запасного варианта. Подавайте домен на предзагрузку, только когда каждый поддомен надёжно работает по HTTPS.
Какой max-age использовать?
Во время тестирования начните с короткого max-age (несколько минут или часов), чтобы ошибки быстро истекали. Когда вы будете уверены, что все ресурсы работают по HTTPS, увеличьте его до одного года (31536000) или двух лет (63072000) и добавьте preload.
Отправляет ли этот инструмент мой домен?
Нет. Всё выполняется в вашем браузере — инструмент лишь формирует строку заголовка и проверяет директивы. Отправьте домен на hstspreload.org самостоятельно, когда ваш сервер будет готов.