Administrar HSTS de un sitio web/alojamiento

Esta guía explica cómo desactivar o configurar HSTS para un sitio web.

Preámbulo

• Cuando HSTS está activado para un sitio web, el servidor indica al visitante del sitio (si su navegador web es compatible) que sustituya todos los enlaces inseguros por enlaces seguros.
• Ejemplo: http://www.exemple.com/une/page/ se sustituye automáticamente por https://www.exemple.com/une/page/.
• Después de activar un certificado SSL en un sitio web, el HSTS se configurará de la siguiente manera: max-age=16000000.

Desactivar HSTS...

...con un CMS (WordPress, Joomla, etc.)

Incluir en todas las páginas generadas por el CMS la siguiente línea:

header( 'Strict-Transport-Security: max-age=0;' );

Para WordPress, es p.ex posible añadir esta directiva al archivo functions.php de su tema:

add_action( 'send_headers', 'add_header_xua' );
function add_header_xua() {
header( 'Strict-Transport-Security: max-age=0;' );
}

Más detalles en WordPress

... con un sitio PHP

Incluir la siguiente línea en todas las páginas php:

header( 'Strict-Transport-Security: max-age=0;' );

Para hacer esto sin necesidad de modificar cada página php de un sitio, es posible utilizar la directiva auto_prepend_file en el archivo .user.ini del lugar de que se trate:

auto_prepend_file=/home/clients/xxxx/web/hsts_disable.php

... con el archivo hsts_disable.php Siguiente:

header( 'Strict-Transport-Security: max-age=0;' );

... con un sitio con contenido estático (no PHP)

Incluir este header en un archivo .htaccess:

# BEGIN DISABLE HSTS
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=0; includeSubDomains;"
</IfModule>
# END DISABLE HSTS

Personalizar el HSTS

header( 'Strict-Transport-Security: max-age=X; includeSubdomains; preload' );

includeSubDomains; está activado por defecto y como su nombre lo indica, va a incluir los subdominios en los "Strict Transport Security."

Cuando el visitante va a un subdominio no seguro, el navegador redirigirá automáticamente al HTTPS y provocará un error de seguridad.

Si este comportamiento no es deseado, hay que quitar este encabezado.

Borrar la caché HSTS del navegador

Para ello:

1. En Chrome, escribacromo://net-internals/#hsts
2. Introduzca el nombre de dominio en el campo de texto de la sección "Delete domain security policies."
3. Haga clic en el botón Delete.
4. Introduzca el nombre de dominio en el campo de texto de la sección "Query HSTS."
5. Haga clic en el botón Query.
6. La respuesta debe ser "Not found(No se ha encontrado).

1. Con Safari, primero cierre el navegador.
2. Borre el archivo~/Library/Cookies/HSTS.plist.
3. Abre Safari.

1. Con Firefox, cierra todas las pestañas.
2. Abra el menú de Firefox y haga clic en Historia / Mostrar historia.
3. Busque la página en la que desea eliminar las preferencias HSTS.
4. Haga clic derecho en una de las entradas correspondientes.
5. Elija Olvidar este sitio.