WordPress

Če lahko, glavo nastavite v nadzorni plošči gostovanja ali v .htaccess (glejte ta zavihka): tako velja tudi za predpomnjene strani in datoteke, ki do PHP-ja nikoli ne pridejo.

Če imate samo dostop do administracije WordPressa, to dodajte z brezplačnim vtičnikom Code Snippets (Snippets → Add New, izvajanje povsod) ali v functions.php podrejene teme:

// HSTS na vsaki strani, ki jo WordPress ustvari prek HTTPS.
add_action('send_headers', function () {
    if (is_ssl()) {
        header('Strict-Transport-Security: max-age=31536000; includeSubDomains');
    }
});

Nato počistite predpomnilnik strani. Strani, ki jih streže neposredno predpomnilnik (WP Rocket, LiteSpeed Cache), so lahko še vedno brez glave; če preverjanje s curl pokaže, da manjka, uporabite zavihek za strežnik.

cPanel

Deljeno gostovanje s cPanelom večinoma nima stikala za HSTS, .htaccess pa deluje. To dodajte v .htaccess v korenski mapi strani (File Manager, z vklopljenim Show Hidden Files):

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>

Brskalniki glavo v odgovorih na http:// prezrejo, zato tam ne škodi; pomembno je, da je na vsakem odgovoru na https://.

Plesk

1. Odprite Websites & Domains → example.com → SSL/TLS Certificates.
2. Vklopite HSTS in max-age nastavite na vsaj 6 mesecev (bolje eno leto). Include subdomains označite šele, ko jih preverite, Preload pa pustite izklopljen, razen če ga res želite.

Če vaša različica Pleska tam nima stikala za HSTS, glavo dodajte v Websites & Domains → example.com → Apache & nginx Settings, v Additional nginx directives:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

nginx

V blok server za HTTPS vaše strani (/etc/nginx/sites-available/example.com na Debianu in Ubuntuju, /etc/nginx/conf.d/example.com.conf na Rocky, Alma in CentOS):

server {
    listen 443 ssl;
    server_name example.com;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

Brez always nginx glave ne doda odgovorom z napako. Past: blok location, ki ima svoj add_header, ne podeduje nobene glave iz bloka server, zato vrstico tam ponovite.

sudo nginx -t && sudo systemctl reload nginx

Apache in LiteSpeed

Z dostopom do strežnika (Apache). V <VirtualHost *:443> vaše strani (/etc/apache2/sites-available/example.com-le-ssl.conf ali podobno na Debianu in Ubuntuju, /etc/httpd/conf.d/ na Rocky, Alma in CentOS):

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Potrebuje mod_headers (na Debianu in Ubuntuju: sudo a2enmod headers).

sudo apachectl configtest && sudo systemctl reload apache2

(Na Rocky, Alma in CentOS httpd namesto apache2.)

Brez dostopa do strežnika (deljeno gostovanje, LiteSpeed). Uporabite vrstice za .htaccess iz zavihka cPanel; LiteSpeed jih bere enako.

Cloudflare

1. Odprite domeno in pojdite na SSL/TLS → Edge Certificates.
2. Pod HTTP Strict Transport Security (HSTS) kliknite Enable HSTS in potrdite opozorilo.
3. Max Age Header nastavite na 6 months ali 12 months. Apply HSTS policy to subdomains vklopite šele, ko preverite poddomene; Preload pustite izklopljen, razen če ga res želite.
4. Save.

Cloudflare glavo doda vsakemu odgovoru, ki ga streže. Če jo pošilja tudi vaš strežnik, s curl preverite, da je rezultat ena sama glava z vrednostjo, ki jo želite.

Node.js in Next.js

Next.js (lastno gostovanje), v next.config.js:

module.exports = {
    async headers() {
        return [{
            source: '/:path*',
            headers: [
                { key: 'Strict-Transport-Security', value: 'max-age=31536000; includeSubDomains' },
            ],
        }];
    },
};

Na Vercelu lastne domene glavo HSTS že dobijo od platforme; preden dodate svojo, preverite s curl.

Express: paket helmet privzeto pošilja Strict-Transport-Security z enoletnim max-age (app.use(helmet())). Če je pred aplikacijo nginx, zadošča nastavitev tam (zavihek nginx).

Laravel

Ustvarite middleware, na primer app/Http/Middleware/StrictTransportSecurity.php:

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class StrictTransportSecurity
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);

        if ($request->isSecure()) {
            $response->headers->set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
        }

        return $response;
    }
}

Registrirajte ga v bootstrap/app.php:

->withMiddleware(function (Middleware $middleware) {
    $middleware->append(\App\Http\Middleware\StrictTransportSecurity::class);
})

Za razdelilnikom obremenitve ali proxyjem je isSecure() resničen samo, če Laravel proxyju zaupa ($middleware->trustProxies(at: '*') ali naslov IP vašega proxyja). Sicer se glava nikoli ne pokaže.

IIS in ASP.NET

V datoteki web.config strani:

<configuration>
  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
</configuration>

V ASP.NET Core app.UseHsts() privzeto pošlje samo 30 dni, kar je manj od 180, ki jih zahteva kontrolni seznam. Starost nastavite izrecno:

builder.Services.AddHsts(options =>
{
    options.MaxAge = TimeSpan.FromDays(365);
    options.IncludeSubDomains = true;
});