Kiểm tra HSTS - Xác minh bảo mật website
Kiểm tra HSTS là công cụ miễn phí giúp bạn xác minh cấu hình HTTP Strict Transport Security của website. HSTS bảo vệ người dùng bằng cách bắt buộc kết nối HTTPS, ngăn chặn các cuộc tấn công man-in-the-middle và lỗ hổng SSL stripping.
Cách sử dụng Kiểm tra HSTS
Công cụ Kiểm tra HSTS giúp bạn xác minh cấu hình bảo mật HTTPS của website một cách nhanh chóng và dễ dàng. Dưới đây là các bước sử dụng:
- Nhập tên miền: Gõ địa chỉ website cần kiểm tra vào ô tìm kiếm (ví dụ: example.vn hoặc https://example.vn)
- Nhấn nút kiểm tra: Bấm vào nút "Kiểm tra" hoặc "Check HSTS" để bắt đầu quá trình phân tích
- Đợi kết quả: Công cụ sẽ kết nối đến server và kiểm tra header HSTS trong thời gian vài giây
- Xem báo cáo chi tiết: Kết quả sẽ hiển thị thông tin về trạng thái HSTS, thời gian hết hạn (max-age) và các cấu hình liên quan
- Phân tích kết quả: Kiểm tra xem website có bật HSTS hay không, thời gian bảo vệ có đủ dài hay không
Khi nào cần dùng Kiểm tra HSTS
Công cụ Kiểm tra HSTS rất hữu ích trong nhiều tình huống bảo mật và quản lý website:
- Kiểm tra bảo mật HTTPS: Xác minh rằng website của bạn đã bật HSTS để bảo vệ người dùng khỏi tấn công downgrade
- Chuẩn bị migration HTTPS: Kiểm tra cấu hình HSTS trước khi chuyển website sang HTTPS hoàn toàn
- Audit bảo mật định kỳ: Thực hiện kiểm tra định kỳ để đảm bảo cấu hình HSTS vẫn hoạt động đúng
- Tuân thủ tiêu chuẩn bảo mật: Xác nhận website tuân thủ các tiêu chuẩn bảo mật OWASP và NIST
- Kiểm tra website đối thủ: So sánh cấu hình bảo mật với các website cạnh tranh
- Khắc phục sự cố SSL/TLS: Chẩn đoán vấn đề liên quan đến chứng chỉ HTTPS và HSTS
🔒Cần mua chứng chỉ SSL?
Bảo vệ website với SSL từ BKNS — từ 199.000đ/năm, cài đặt miễn phí
Thông tin kỹ thuật
HSTS là gì?
HSTS (HTTP Strict-Transport-Security) là một cơ chế bảo mật web được định nghĩa trong RFC 6797. Nó buộc trình duyệt chỉ kết nối đến website thông qua HTTPS an toàn, ngăn chặn các tấn công man-in-the-middle và downgrade attacks.
Cách hoạt động của HSTS
- Header HSTS: Server gửi header "Strict-Transport-Security" với thời gian hết hạn (max-age) tính bằng giây
- Lưu trữ trình duyệt: Trình duyệt lưu trữ thông tin này và tự động chuyển hướng HTTP sang HTTPS
- Bảo vệ HTTPS: Ngăn chặn tấn công SSL stripping và các cuộc tấn công downgrade protocol
- Preload list: Website có thể được thêm vào danh sách preload của trình duyệt để bảo vệ từ lần truy cập đầu tiên
Các thông số quan trọng
- max-age: Thời gian (tính bằng giây) mà trình duyệt ghi nhớ chính sách HSTS (tối thiểu 31536000 giây = 1 năm)
- includeSubDomains: Áp dụng HSTS cho tất cả các subdomain của website
- preload: Cho phép website được thêm vào danh sách preload của Google Chrome