ตัวสร้าง HSTS Header
สร้าง HSTS header (Strict-Transport-Security) พร้อม max-age, includeSubDomains และ preload ตรวจเงื่อนไข preload list พร้อม snippet สำหรับ nginx, Apache และ Express
Loading tool...
ตัวสร้าง HSTS Header คืออะไร?
ตัวสร้าง Strict-Transport-Security (HSTS) header สำหรับบังคับใช้ HTTPS ฝั่ง browser เลือกค่า max-age จาก preset ที่เตรียมไว้ เพิ่ม directive includeSubDomains และ preload ตรวจสอบว่าผ่านเงื่อนไข HSTS preload list หรือไม่ แล้วคัดลอก header สุดท้ายพร้อม snippet สำหรับ deploy บน nginx, Apache และ Express.js
ประโยชน์หลัก
- บังคับผู้เข้าชมที่กลับมาซ้ำให้ใช้ HTTPS และปิดช่องโหว่ SSL-stripping
- ไต่ระดับได้อย่างปลอดภัย: max-age สั้นตอนทดสอบ หลายปีตอน production
- รู้ผลทันทีว่าเข้าเกณฑ์ preload หรือยัง ก่อนส่งขอจริง
- ได้ syntax และลำดับ directive ที่ถูกต้อง ไม่มี typo
- snippet server ตรงกันทั้ง nginx, Apache และ Express.js
กรณีการใช้งาน
- • Harden production site หลังจากยืนยันแล้วว่า subdomain ทุกตัวรองรับ HTTPS
- •ทดสอบ rollout ของ HSTS บน staging ด้วย max-age สั้น ๆ แค่ 5 นาที
- •เตรียมโดเมนก่อนส่งขอเข้า hstspreload.org อย่างเป็นทางการ
- •เพิ่ม header ที่ security scanner หรือรายงาน pentest แจ้งว่าขาดหายไป
วิธีใช้ตัวสร้าง HSTS Header
- เลือกค่า max-age: กรอกจำนวนวินาทีที่ต้องการให้ browser บังคับใช้ HTTPS หรือเลือก preset ช่วยได้ แนะนำให้เริ่มจากค่าสั้น เช่น 5 นาที ตอนทดสอบ แล้วค่อยเพิ่มเป็นหนึ่งหรือสองปีเมื่อมั่นใจว่า subdomain ทุกตัวให้บริการ HTTPS ที่ valid
- ตั้งค่า directive: เปิด includeSubDomains เพื่อครอบคลุม subdomain ทุกตัวของโฮสต์ และเปิด preload เฉพาะเมื่อเตรียมส่งโดเมนเข้า HSTS preload list ที่ฝังมากับ Chrome, Firefox และ Edge
- ตรวจเงื่อนไข preload: ถ้าเปิด preload ไว้ ให้ดู checklist ประกอบ: max-age ต้องอย่างน้อยหนึ่งปี ต้องมี includeSubDomains และควรเข้าใจว่าการขอถอดออกจาก preload list อาจใช้เวลาเป็นเดือน
- คัดลอกและ deploy header: คัดลอก Strict-Transport-Security header ที่สร้างได้ หรือหยิบ snippet ที่เตรียมไว้ทั้ง nginx add_header, Apache Header always set หรือ middleware Express.js ไป deploy เพื่อให้ header ถูกส่งออกทุก response ที่เป็น HTTPS
คุณสมบัติหลัก
- สร้าง Strict-Transport-Security header แบบเรียลไทม์จากตัวเลือก max-age, includeSubDomains และ preload
- preset max-age 6 ค่า ตั้งแต่กรอบทดสอบ 5 นาที ถึงค่า production สองปี
- checklist ตรวจความพร้อม preload ตามเงื่อนไข max-age หนึ่งปีและ includeSubDomains
- output พร้อมคัดลอกทั้ง header ต้นฉบับ, nginx add_header, Apache Header always set และ middleware Express.js
- รองรับสองภาษา EN/TH ทำงาน offline ได้ ไม่มีข้อมูลออกจากเบราว์เซอร์
คำถามที่พบบ่อย
Strict-Transport-Security (HSTS) header ทำอะไร
header นี้บอก browser ว่าเว็บคุณต้องเข้าถึงผ่าน HTTPS เท่านั้นตลอดระยะเวลา max-age รวมถึงการเข้าชมครั้งถัด ๆ ไป หลังจากเชื่อมต่อ HTTPS ครั้งแรก browser จะเปลี่ยนหรือปฏิเสธ request http:// ที่ไม่ปลอดภัยให้อัตโนมัติ ช่วยป้องกัน SSL-stripping man-in-the-middle attack
includeSubDomains ทำอะไร
ถ้าไม่ใส่ HSTS policy จะมีผลเฉพาะโฮสต์ที่ส่ง header นี้เท่านั้น แต่ถ้าใส่ includeSubDomains ทุก subdomain เช่น api.example.com หรือ mail.example.com จะถูกบังคับใช้ HTTPS ด้วย ควรเปิดเมื่อมั่นใจว่า subdomain ทุกตัวมี certificate HTTPS ที่ valid
ควรเปิด preload หรือไม่
เปิดเฉพาะเมื่อตั้งใจส่งโดเมนเข้า list ที่ hstspreload.org ซึ่งฝังมากับ browser หลัก ๆ เงื่อนไขคือ max-age อย่างน้อยหนึ่งปีและต้องมี includeSubDomains การขอถอดออกภายหลังอาจใช้เวลาเป็นเดือน จึงควรถือเป็นคำมั่นระยะยาว
ต้องเอา header ที่ได้ไปใส่ตรงไหน
ส่งออกเป็น HTTP response header จาก web server, reverse proxy หรือ CDN ของคุณ โดยใช้ snippet ที่ให้ไว้: nginx add_header, Apache Header always set หรือ middleware Express.js ผ่าน res.setHeader เพื่อให้ header ติดไปกับทุก response ที่เป็น HTTPS