Esta guía explica cómo desactivar o configurar HSTS para un sitio web.

Prefacio

• cuando HSTS está habilitado para un sitio web, el servidor indica al visitante del sitio (si su navegador web es compatible) que reemplace todos los enlaces no seguros por enlaces seguros
• ejemplo: http://www.ejemplo.com/una/pagina/ se reemplaza automáticamente por https://www.ejemplo.com/una/pagina/
• después de habilitar un certificado SSL en un sitio web, HSTS se configura de la siguiente manera: max-age=16000000

Desactivar HSTS

1. con un CMS (WordPress, Joomla, etc.)

Incluya la siguiente línea en todas las páginas generadas por el CMS:

header( 'Strict-Transport-Security: max-age=0;' );

Para WordPress, es posible agregar esta directiva en el archivo functions.php de su tema:

add_action( 'send_headers', 'add_header_xua' );
function add_header_xua() {
    header( 'Strict-Transport-Security: max-age=0;' );
}

Más detalles sobre WordPress 

2. con un sitio PHP

Incluya la siguiente línea en todas las páginas PHP:

header( 'Strict-Transport-Security: max-age=0;' );

Para hacer esto sin tener que modificar cada página PHP de un sitio, es posible usar la directiva auto_prepend_file en el archivo .user.ini del sitio correspondiente:

auto_prepend_file=/home/clients/xxxx/web/hsts_disable.php

... con el siguiente archivo hsts_disable.php:

header( 'Strict-Transport-Security: max-age=0;' );

3. con un sitio de contenido estático (no PHP)

Incluya este encabezado en un archivo .htaccess:

# BEGIN DISABLE HSTS
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=0; includeSubDomains;"
</IfModule>
# END DISABLE HSTS

Personalizar HSTS

header( 'Strict-Transport-Security: max-age=X; includeSubdomains; preload' );

includeSubDomains; está habilitado por defecto y, como su nombre indica, incluirá los subdominios en la "Seguridad de Transporte Estricto".

Cuando el visitante va a un subdominio no seguro, el navegador redirigirá automáticamente a HTTPS y provocará un error de seguridad.

Si este comportamiento no es deseado, se debe eliminar este encabezado.

Borrar la caché HSTS del navegador

Para hacer esto:

1. en Chrome, escriba chrome://net-internals/#hsts
2. ingrese el nombre de dominio en el campo de texto de la sección "Eliminar políticas de seguridad de dominio"
3. haga clic en el botón Eliminar
4. ingrese el nombre de dominio en el campo de texto de la sección "Consultar HSTS"
5. haga clic en el botón Consultar
6. la respuesta debe ser "No encontrado"
7. con Safari, comience cerrando el navegador
8. eliminar el archivo ~/Library/Cookies/HSTS.plist
9. volver a abrir Safari
10. con Firefox, cierre todas las pestañas
11. abra el menú de Firefox y haga clic en Historial / Mostrar historial.
12. busque la página de la que desea eliminar las preferencias HSTS
13. haga clic derecho en una de las entradas correspondientes
14. elija Olvidar este sitio