Posso attivare HSTS per 1 sottodominio

Vorrei applicare HSTS per 1 solo sottodominio, ma non per l'intero dominio, è possibile?

xxx.yyy.com -> HSTS on
zzz.yyy.com -> HSTS off
    yyy.com -> HSTS off

ssl http https

— Grosser
fonte

Lettura consigliata: la pagina di Wikipedia e la stessa RFC . C'è un codice di implementazione per vari server Web nella pagina di Wikipedia e la risposta alla tua domanda nella RFC .

— Ladadadada,

@Ladadadada, tranne per il fatto che RFC non è abbastanza chiaro riguardo ai domini. In questa domanda, il dominio è sempre yyy.com o l'emissione di un'intestazione di sts da xxx.yyy.com si applica solo a * .xxx.yyy.com (e quindi considera xxx.yyy.com come il "dominio")?

— bvgheluwe,

Sì.

Invia l' Strict-Transport-Securityintestazione solo per xxx.yyy.come non specificare includeSubDomains.
I browser che gestiscono correttamente HSTS imposteranno xxx.yyy.comin questo caso solo i requisiti per il sottodominio specificato ( ).

— voretaq7
fonte

Sono solo curioso, che cosa accadrebbe se il Strict-Transport-Securitysul xxx.yyy.com fatto includere il includeSubDomains? Ciò non influirebbe solo *.xxx.yyy.com?

— Aaron Gibralter,

@AaronGibralter Questa è la mia comprensione (e la mia interpretazione della domanda originale era " solo per xxx.yyy.com", motivo per cui ho detto di non impostare includeSubDomains) - Se vuoi che anche i sottodomini xxx.yyy.comfacciano valere HSTS, dovresti impostare includeSubDomainsnell'intestazione.

— voretaq7,

Se includeSubDomainsè presente xxx.yyy.com, interesserà anche *.yyy.com? (cioè si romperà zzz.yyy.comse non intrattiene HTTPS)?

— mg007,

Posso confermare questo. La mia banca ha www.bank.com e homebanking.bank.com. Queste sono voci separate nell'elenco hsts del browser e vengono create indipendentemente l'una dall'altra. L'elenco hsts di Chrome può essere cercato tramite chrome: // net-internals / # hsts -> "Query HSTS / PKP domain" (ricorda che si tratta di una ricerca esatta: "bank" non ha prodotto risultati).

— bvgheluwe,