Apache部署HSTS最强指南。

理解 HSTS 及其重要性

HTTP严格传输安全（HSTS）是一种安全策略机制，强制客户端使用HTTPS与服务器通信，避免中间人攻击或协议降级。HSTS通过响应头Strict-Transport-Security实现，浏览器接收到该头后会在一段时间内自动将所有HTTP请求转换为HTTPS。

HSTS能有效防止SSL剥离攻击，确保敏感数据始终通过加密通道传输。现代浏览器对HSTS的支持已非常成熟，配置后能显著提升网站安全性。

检查 Apache 环境与模块

在启用HSTS前，需确保Apache已正确配置HTTPS并安装了mod_headers模块。通过以下命令检查模块是否启用：

apachectl -M | grep headers

若未启用，需在Apache配置文件中取消注释或添加以下行：

LoadModule headers_module modules/mod_headers.so

配置 HSTS 响应头

在Apache的虚拟主机配置文件（通常位于/etc/apache2/sites-available/或/etc/httpd/conf.d/）中，找到HTTPS对应的<VirtualHost>块，添加以下指令：

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

• max-age=63072000：HSTS有效期（2年），单位为秒。
• includeSubDomains：强制所有子域名使用HTTPS。
• preload：符合Google HSTS预加载列表的要求。

验证 HSTS 头是否生效

重启Apache服务后，使用curl命令或浏览器开发者工具检查响应头：

curl -I https://yourdomain.com

预期输出应包含：

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

处理常见问题与注意事项

若HSTS头未生效，检查Apache错误日志定位问题。确保没有其他配置覆盖了Header指令。对于大型站点，建议逐步部署HSTS，初始设置较短的max-age（如300秒