¿Qué es HSTS y cómo se puede activar?

HSTS (HTTP Strict Transport Security) es un mecanismo de seguridad web que ayuda a proteger los sitios web contra ataques de "protocolo de degradación" y "secuestración de cookies". Al utilizar HSTS, el servidor web informa a los navegadores web que en los sitios donde este mecanismo está habilitado, la conexión debe realizarse únicamente a través de HTTPS y nunca a través de HTTP, ignorándose las solicitudes realizadas por HTTP.

Debido a que en la primera conexión de un cliente web a un sitio aún no sabe si la conexión se realizará a través de HTTP o HTTPS y espera instrucciones del servidor web, todavía existe la posibilidad de una interceptación de las comunicaciones. Para eliminar este riesgo, después de activar HSTS, el dominio puede ser incluido en la lista de "precarga" web. Así, el nombre del dominio se introducirá en el navegador web como funcionando solo en HTTPS.

Atención: Después de ser agregado a la lista de "carga previa", el sitio web ya no funcionará en HTTP, sino solo en HTTPS.

Pueden leerse más detalles sobre las listas de "precarga" y cómo añadir o quitar un dominio de estas listas visitando: https://hstspreload.org/.

Ejemplo de implementación de HSTS en el archivo .htaccess del servidor web Apache:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"