Gostaria de enviar meu site pessoal para a lista de pré-carregamento do Chrome HSTS .

O site diz:

Para ser incluído na lista de pré-carregamento do HSTS, seu site deve:

• Tenha um certificado válido.
• Redirecione todo o tráfego HTTP para HTTPS - ou seja, seja apenas HTTPS.
• Servir todos os subdomínios por HTTPS.
• Servir um cabeçalho HSTS no domínio base:
  • A validade deve ser de pelo menos dezoito semanas (10886400 segundos). O token includeSubdomains deve ser especificado. O token de pré-carregamento deve ser especificado. Se você estiver servindo um redirecionamento, esse redirecionamento deverá ter o cabeçalho HSTS, não a página para a qual ele redireciona.

Isso significa que meu certificado deve ser válido para todos os subdomínios ou apenas para que eles estejam disponíveis / atendidos por HTTPS? (Eu tenho um certificado para sub.example.com, mas não a raiz.)

Posso me inscrever na lista de pré-carregamento do HSTS com um subdomínio, como sub.example.com?

Todos os subdomínios precisam usar HTTPS?

Tecnicamente, para ser incluído apenas o domínio raiz precisa estar usando HTTPS, mas depois que você for incluído, qualquer site no domínio raiz precisará usar HTTPS; caso contrário, a conexão falhará; portanto, na prática, você desejará que todos os subdomínios usem HTTPS.

Posso me inscrever na lista de pré-carregamento do HSTS com um subdomínio, como sub.example.com?

Não, se você tentar testar um subdomínio, receberá o seguinte aviso

example.jrtapsell.co.uké um subdomínio. Por favor, pré- jrtapsell.co.ukcarregue. (Devido ao tamanho da lista de pré-carregamento e ao comportamento dos cookies nos subdomínios, aceitamos apenas envios automáticos da lista de pré-carregamento de domínios registrados inteiros.)

A maneira como isso é verificado é feita através de uma lista pública de sufixos, como esta: https://publicsuffix.org/list/

Preciso usar um certificado curinga para me inscrever na lista de pré-carregamento?

Não, desde que a configuração SSL seja válida, você poderá aplicar, o tipo de certificado não importa.

Embora eu não tenha tentado pessoalmente, depois de ler o padrão HSTS ( RFC 6797 ), interpreto / entendo o seguinte:

• Se o domínio pai for compatível com HSTS, ele não precisará, mas poderá impor a política para que os subdomínios também sejam compatíveis com HSTS emitindo a diretiva includeSubDomains no cabeçalho HTTP do STS.

• Se o domínio pai não for compatível com HSTS, ele não impedirá que um subdomínio seja compatível com HSTS. Um subdomínio deve poder funcionar totalmente com o HSTS, desde que emita os cabeçalhos HTTP apropriados e funcione corretamente em https://subdomain.example.com/ .

Não é obrigatório ter um certificado SSL curinga para inclusão na lista de pré-carregamento do HSTS.

Se você tiver um único domínio, poderá usar qualquer certificado SSL validado por domínio para inclusão na lista de pré-carregamento do HSTS, em vez de usar o certificado SSL curinga.

É necessário incluir todos os subdomínios como SSL para entrar na lista de pré-carregamento, conforme encontrado aqui https://hstspreload.appspot.com/

1. Tenha um certificado válido.
2. Redirecione todo o tráfego HTTP para HTTPS - ou seja, seja apenas HTTPS.
3. Servir todos os subdomínios por HTTPS.
4. Servir um cabeçalho HSTS no domínio base:
   • A validade deve ser de pelo menos dezoito semanas (10886400 segundos).
   • O token includeSubdomains deve ser especificado.
   • O token de pré-carregamento deve ser especificado.
   • Se você estiver servindo um redirecionamento, esse redirecionamento deverá ter o cabeçalho HSTS, não a página para a qual ele redireciona.

Isso significa que você precisa de um curinga? Não. Você pode obter certificados SSL individuais para cada subdomínio. Provavelmente seria a rota mais barata. Você pode escolher curinga, mas até ter mais de 5 subdomínios que valem a pena proteger, não vale a pena financeiramente. De qualquer forma, todos os subdomínios devem estar no modo HTTPS, se você desejar pré-carregar.

Usando esse pensamento, se você usar um subdomínio como raiz, precisará proteger o subdomínio da mesma maneira :) Ou, é claro, também ao contrário, não é possível declarar HSTS em um subdomínio sem proteger o TLD raiz.