Il dominio Google .dev reindirizza stranamente a https


19

Ho acquistato un dominio .dev oggi @ domains.google. Ho anche creato un web server nginx dedicato a cui punta il dominio .dev (record A).

Molto stranamente, non riesco ad accedere alla mia pagina di benvenuto di nginx usando il mio example.devdominio, perché per qualche strana ragione sono reindirizzato al https://example.devquale poi fallisce (non è possibile stabilire alcuna connessione al mio server web http). Tuttavia, qualsiasi altro dominio che punta a questo nuovo server funziona correttamente. Come example.comfunziona. Non ho configurato NULLA su nginx, l'ho solo installato (la configurazione della demo fa il lavoro). Ovviamente, questo ha qualcosa a che fare con Google come registrar. OK, quindi devo contattare l'assistenza di Google, giusto? Sì. L'ho fatto, tuttavia, mi hanno detto che era qualcosa che dovevo gestire dalla mia parte e che si riferiva sempre a "contatta il tuo host web" (che non è un grande consiglio dato che sono l'host).

Ho provato di tutto nella console di Google, ma non riesco a farlo funzionare. Il supporto di Google è stato molto, molto deludente e ora spero di vedere alcune risoluzioni su questo problema.

Risposte:


44

.devi domini sono solo HTTPS. Non è un reindirizzamento. È il precarico HSTS.

HSTS è una tecnologia che consente ai domini di dichiarare di essere solo HTTPS. Ha lo scopo di mitigare gli attacchi di downgrade del protocollo. La prima volta che visiti un sito che desidera utilizzare HSTS, ricevi un'intestazione che ti impedisce di visitare quel dominio su HTTP.

L'elenco di precaricamento HSTS è integrato nei browser Web in modo che il browser sappia che un sito è solo HTTPS, anche prima della prima visita. Se un sito si trova nell'elenco di precaricamento HSTS, non sarà mai possibile accedervi tramite HTTP in quel browser, solo tramite HTTPS.

Google ha inserito l'intero .devdominio di primo livello nell'elenco di precaricamento HSTS . Ciò significa che nessun .devdominio potrà mai essere eseguito come sito HTTP.

Quando hai registrato il tuo .devdominio, il registro di Google ti ha detto questo in prima pagina nella sezione "Indennità di sicurezza":

Ottieni sicurezza integrata

La tua sicurezza è la nostra priorità. Il dominio di primo livello .dev è incluso nell'elenco di precaricamento HSTS, rendendo HTTPS richiesto su tutte le connessioni a siti Web e pagine .dev senza la necessità di registrazione o configurazione HSTS individuali. La sicurezza è integrata.

Attualmente solo Firefox e Chrome supportano questo precarico HSTS. Se vuoi essere in grado di testare il tuo sito prima di aver configurato HTTPS, puoi utilizzare un browser diverso. Potresti anche essere in grado di modificare le impostazioni del tuo browser per disabilitare HSTS .

A causa del precarico HSTS, dovrai eseguire il tuo .devdominio su un server HTTPS in modo che gli utenti possano accedervi.


2
Questo è tutto. Devo aver perso questa informazione e il team di supporto non me lo ricorderebbe più (anche se penso che sia abbastanza ovvio che mi mancavano esattamente queste informazioni).
Johnny,

8
Sì, il supporto avrebbe dovuto essere in grado di dirti questo.
Stephen Ostermiller

4
@Johnny a proposito, potresti essere interessato a Let's Encrypt: letsencrypt.org
Ave,

1
Un altro TLD creato da Google .appè anche uno spazio dei nomi solo HTTPS. Attenzione.
Alex Jone,

4
Per i domini dev, i due riservati sono * .test e * .localhost. Sono completamente riservati, quindi non verranno mai rilevati come veri TLD. * .localhost è davvero bello se stai eseguendo il test di localhost, poiché puoi utilizzare più servizi come faresti con altri TLD e continua a mappare su 127.0.0.1. * .test è pensato per qualsiasi cosa relativa al DNS, quindi se hai bisogno di mappare su IP della macchina virtuale o qualcosa del genere, questo è il tuo obiettivo. Ultimamente sono stato un grande fan di * .localhost con contenitori docker, dato che mappo comunque il proxy inverso a 127.0.0.1. Non richiede shenanigans DNS locali o / etc / hosts.
superlinkx
Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.