将 HTTP 重定向到 HTTPS 或拒绝使用 HTTP？

Question

在 Apache HTTPD 服务器上配置，网络上的许多文章建议通过将所有 HTTP 请求（永久）重定向到 HTTPS 来强制执行 HTTPS 协议。

以下是我理解的用户尝试访问同时支持 HTTP 和 HTTPS 的服务器时发生的情况：

1. 客户端的用户代理（例如，但不仅限于 Web 浏览器）向 http://my.domain.com 发送请求。
2. 服务器在端口 80 上接收请求，并将永久重定向（代码 301）发送到 https://my.domain.com。
3. 客户端的用户代理收到响应。给定状态码，它会向https://my.domain.com发送相同的请求。
4. 服务器在 443 端口收到请求，并返回想要的内容。

因此，如果请求包含敏感数据，则在第 1 步和第 2 步之间，中间人可以在请求中以非加密方式恢复它。

如果客户端使用网络浏览器，该浏览器会缓存 301 重定向，下次客户端使用 HTTP 发送请求时，它会自动使用 HTTPS 发送。

但是，如果客户端经常清除缓存怎么办？或者使用不存储永久重定向的网络浏览器以外的其他用户代理？ 我们不会在这里失去 HTTPS 的好处吗？

具体示例：REST API，请求包含敏感数据。可以从任何 HTTP 客户端（在线、嵌入软件或网站、独立）调用此 API。

在这种情况下，为了强制使用 HTTPS，禁用服务器级别的 HTTP 支持会更好吗？

2017-11-14 编辑：

sys0dm1n 在下面告诉我有关 HSTS 的信息。但是这种机制提供的安全性完全取决于用户代理是否符合规范。

2017-11-15 编辑：

我在收到第一个答案后编辑我的帖子，以明确我的担忧。

Answer 1

为了确保您的网站始终使用 https 来确保安全，一种方法是启用 HSTS

自动将任何引用 Web 应用程序的不安全链接转换为安全链接。

要启用它，您需要在 vHost 配置中添加一个标头：

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;"

确保 Header 模块已启用。

您可以按照说明 here 添加您的域以包含在 Chrome 的 HTTP 严格传输安全 (HSTS) 预加载列表中。

这是在 Chrome 中硬编码为仅 HTTPS 的网站列表。

Answer 2

“完全禁用 http 会有帮助吗？”

不，我认为不会，原因如下：大概，您的客户端/浏览器在发送请求之前不知道是否存在运行 http 的站点。当然，它会收到类似 404 或类似的错误代码，但此时，原始请求已经通过网络发送，任何“中间人”很可能已经能够观察到该请求。

作为问题的简单说明，这里调用了一个伪造的 http-url，它是由 Postman 制作的，它是 Fiddler 中的一个。如您所见，返回了 502 错误，但原始请求仍包含敏感数据。

现在只是为了比较，如果我也这样做，但只是将 url 更改为 https，我会在 Fiddler 中得到不同的结果：

这会尝试建立一个隧道，并且不会泄露任何后期数据。

因此，总而言之，您最好的选择可能是启用 HSTS 并将您的网站放在 HSTS preload list 上，这应该会阻止任何 HTTP 请求开始发送（至少对于 recent versions of most major browsers）。