Segurança: HSTS
Este curso trata do cabeçalho Strict-Transport-Security que o Rails envia quando config.force_ssl é true. Os padrões mandam um max-age de dois anos com includeSubDomains e sem preload. As aulas mostram como o navegador guarda e renova regras de HSTS, qual lacuna um redirecionamento em HTTP puro deixa e o que o includeSubDomains exige de cada subdomínio. Também cobrem a rampa do max-age, o desligamento com max-age=0, a lista de preload e as interações com health checks, renovação de certificado, cookies e desenvolvimento local. O fechamento é um plano de HSTS por escrito.
O que você vai aprender
- ✓O que os padrões de HSTS do Rails enviam e com o que comprometem o domínio
- ✓Como o navegador registra, renova e aplica regras de HSTS por host
- ✓Como montar um inventário de subdomínios com DNS, logs de transparência, ingress e o time
- ✓Como subir o max-age com segurança e desligar o HSTS com max-age=0
- ✓Os requisitos da lista de preload e o custo de sair dela
- ✓Como o HSTS interage com health checks, validação ACME, cookies e desenvolvimento
O que este app já está prometendo
Uma linha no config/environments/production.rb:
Ler a aula completa grátis →Currículo
7 aulasO que este app já está prometendo
Mostra que o force_ssl do Rails envia HSTS de dois anos com todos os subdomínios, e por que explicitar isso.
Como o HSTS funciona de fato
Explica a lacuna do HTTP puro antes do redirecionamento, como o navegador guarda a regra e o limite da primeira visita.
includeSubDomains e o inventário
Trata do alcance do includeSubDomains, da proteção a cookies de domínio e de como inventariar cada subdomínio.
Subindo o max-age, e desligando
Descreve a rampa do max-age de cinco minutos a dois anos e o desligamento com max-age=0 por HTTPS.
A lista de preload
Apresenta a lista de preload, seus quatro requisitos, a remoção que leva meses e quando vale submeter.
HSTS em contexto
Mostra como o HSTS interage com health checks, renovação ACME, outros cabeçalhos, cookies secure e desenvolvimento local.
Juntando tudo: um plano de HSTS
Monta um plano de HSTS: opções explícitas, inventário de subdomínios, decisão de preload registrada e rampa para domínios novos.