ما هو HSTS؟
HSTS هو اختصار لـ HTTP Strict Transport Security، وهو آلية أمان تُستخدم لضمان أن اتصالات المتصفح مع موقع الويب تتم عبر بروتوكول HTTPS المشفر فقط، وبالتالي منع أي محاولة لاختراق البيانات أو التنصت عليها.
شرح مبسط لـ HSTS
عندما يزور المستخدم موقع ويب، يتم تبادُل البيانات بين المتصفح والخادم (السيرفر) عبر بروتوكولات HTTP أو HTTPS. يختلف HTTP عن HTTPS في أن الأخير مشفر ويحمي البيانات من التنصت أو التلاعب أثناء انتقالها. لكن أحيانًا قد يبدأ المستخدم تصفحه عبر HTTP غير المشفر، مما يعرض البيانات لخطر الهجوم. هنا يأتي دور HSTS.
عند تفعيل HSTS على خادم الويب، يقوم الخادم بإرسال رأس HTTP خاص (Header) إلى المتصفح يسمى Strict-Transport-Security. هذا الرأس يخبر المتصفح أنه يمنع تحميل الموقع عبر أي اتصال غير مشفر (HTTP) لمدة زمنية محددة تحددها السياسة.
بعد استقبال هذا التوجيه، يتأكد المتصفح في المستقبل من أنه يتصل دائمًا بالموقع باستخدام HTTPS فقط، حتى ولو كتب المستخدم في شريط العنوان "http://". هذا يمنع الهجمات الشائعة مثل man-in-the-middle التي تستغل انعدام التشفير لتحويل المستخدم إلى نسخة مزيفة أو مراقبة بياناته.
لماذا يعتبر HSTS مهمًا؟
ببساطة، يمنع HSTS الثغرات التي تنشأ بسبب محاولة المستخدم أو المتصفح الاتصال بالموقع عبر HTTP غير الآمن. هذا يعزز ثقة المستخدم بالموقع ويقلل من احتمالية تعرض بياناته للاختراق أو السرقة. كما أنه يعزز من ترتيب الموقع في محركات البحث، لأن جوجل ومحركات أخرى تفضل المواقع التي تطبق معايير أمان عالية.
كيف يمكن تفعيل HSTS؟
يمكن لمطوري ومشرفي مواقع الويب تفعيل HSTS عن طريق تعديل إعدادات الخادم لإرسال رأس Strict-Transport-Security مع الاستجابة. مثلاً، يحدد السطر التالي مدة تطبيق السياسة لمدة سنة مع تفعيل خاصية تطبيق السياسة على جميع النطاقات الفرعية:
Strict-Transport-Security: max-age=31536000; includeSubDomains
من الأفضل أيضًا إضافة الموقع إلى قائمة HSTS Preload، وهي قائمة يكشف عنها المتصفحات مباشرة لتطبيق السياسة منذ الزيارة الأولى، مما يعزز الأمان أكثر.
