HSTS Nedir
HSTS (HTTP Strict Transport Security), web sitelerinin güvenliğini artırmak için kullanılan bir güvenlik mekanizmasıdır. Bu mekanizma, web tarayıcılarına, belirli bir süre boyunca (genellikle birkaç ay) ilgili bir web sitesine sadece HTTPS (Güvenli HTTP) üzerinden bağlanmaları gerektiğini bildiren bir politikadır. HSTS, bir web sitesine ilk ziyaret yapıldığında tarayıcıya gönderilen bir HTTP başlığı aracılığıyla etkinleştirilir. Bu başlık, tarayıcılara belirli bir süre boyunca ilgili web sitesine sadece HTTPS üzerinden erişilmesi gerektiğini bildirir.
Tarayıcılar bu bilgiyi aldıklarında, o web sitesine yönelik tüm bağlantıları otomatik olarak HTTPS üzerinden yaparlar.
HSTS Web Sitesi Sunucusuna etkisi
HSTS, web sitesi sunucusundan tarayıcıya gönderilen bir HTTP yanıt başlığıdır. Bu başlık, tarayıcılara belirli bir süre boyunca ilgili web sitesine sadece HTTPS üzerinden erişmeleri gerektiğini bildirir. Tarayıcılar bu bilgiyi aldıklarında, o web sitesine olan tüm bağlantıları otomatik olarak HTTPS üzerinden gerçekleştirirler.
Bu da kullanıcıların bilgi alışverişini daha güvenli bir şekilde yapmalarını ve potansiyel saldırılara karşı korunmalarını sağlar. Bu .htaccess kodu, tarayıcılara ilgili web sitesine HTTPS üzerinden en fazla 31536000 saniye (bir yıl) boyunca erişmeleri gerektiğini belirtir. “includeSubDomains” ifadesi, alt alan adları da dahil olmak üzere tüm alt alan adları için HSTS’nin etkin olmasını sağlar. “preload” ifadesi ise tarayıcıların HSTS listelerine eklenerek daha geniş bir güvenlik ağı oluşturulmasına olanak tanır.
Örneğin, eğer “Dijitaloop.com” domain’i için bu politikayı uygulamak istiyorsak, .htaccess dosyasına aşağıdaki kodu ekleyebiliriz. Bu, tarayıcıların example.com ve tüm alt alan adlarına sadece HTTPS üzerinden erişmesini sağlayacaktır. Ancak, .htaccess dosyasını düzenlerken dikkatli olmak ve herhangi bir hata yapmamak önemlidir.
Dosyayı değiştirmeden önce yedeklemek her zaman iyi bir uygulamadır. Ayrıca, HSTS özelliğini etkinleştirmeden önce web sitesinin HTTPS üzerinden doğru bir şekilde çalıştığından emin olmak da önemlidir. Bu şekilde, kullanıcılar web sitesine daha güvenli bir şekilde erişebilir ve veri güvenliği daha iyi korunabilir.
HSTS’nin Sağladığı Güvenlik
HSTS’nin sağladığı güvenlik avantajları arasında, kullanıcıların verilerinin şifrelenmiş bir ortamda iletilmesi, orta kişi saldırılarına karşı koruma, veri bütünlüğünün sağlanması ve kullanıcıların bilgi gizliliğinin korunması bulunmaktadır.
Ayrıca, web siteleri sahiplerine ve geliştiricilere, kullanıcıların daha güvenli bir çevrimiçi deneyim yaşamalarına yardımcı olma fırsatı sunar. HSTS, internet üzerindeki iletişimi daha güvenli hale getirerek, kullanıcıların çevrimiçi ortamda daha güvende hissetmelerini sağlar. Bu mekanizma, HTTPS kullanımını teşvik ederek, web tabanlı saldırıların önlenmesine yardımcı olur ve internetin genel güvenliğine katkıda bulunur.
HSTS özelliğini kullanmak için .htaccess dosyasına aşağıdaki gibi bir kod eklemek gerekebilir:
HSTS .htaccess kodu;
# HSTS etkinleştirme
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
