Qu'est-ce que HSTS et pourquoi vous devriez l'activer

Même avec le SSL installé, il existe une brève fenêtre où la première requête d'un visiteur vers votre site pourrait se produire via du HTTP non chiffré — HSTS referme cette brèche.

La vulnérabilité qu'il corrige

Sans HSTS, un attaquant sur le même réseau pourrait intercepter cette première requête non chiffrée avant que la redirection vers HTTPS ne se produise, une technique connue sous le nom de SSL stripping.

Comment fonctionne HSTS

Une fois qu'un navigateur a visité votre site HTTPS une fois, HSTS lui indique de toujours se connecter via HTTPS à partir de là, automatiquement, sans jamais retenter une connexion non chiffrée.

L'activer

HSTS s'active via un en-tête de réponse, configurable dans Plesk ou la configuration de votre serveur — confirmez que votre configuration SSL est stable avant de l'activer, puisque ce n'est pas instantanément réversible pour les visiteurs récurrents.

Pour aller plus loin

• Certificats SSL
• Plus de guides de cybersécurité
• Let's Encrypt