엄격한 전송 보안 사용 mvc

Question

엄격한 전송 보안을 사용하려고합니다. MY 웹 사이트가 https를 사용하도록 설정되었습니다. 다음은 hsts를 활성화하는 코드입니다.

<system.webServer> 
    <httpProtocol> 
     <customHeaders> 

      <add name="X-Frame-Options" value="SAMEORIGIN" /> 
      **<add name="Strict-Transport-Security" value="max-age=31536000"/>** 
     ..... 
     </customHeaders> 
    </httpProtocol> 

위의 설정은 엄격한 전송 보안을 설정하기에 충분하거나 아래 설정을 추가해야합니다.

<rewrite> 
     <rules> 
     <rule name="HTTP to HTTPS redirect" stopProcessing="true"> 
      <match url="(.*)" /> 
      <conditions> 
      <add input="{HTTPS}" pattern="off" ignoreCase="true" /> 
      </conditions> 
      <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" 
       redirectType="Permanent" /> 
     </rule> 
     </rules> 
     <outboundRules> 
     <rule name="Add Strict-Transport-Security when HTTPS" enabled="true"> 
      <match serverVariable="RESPONSE_Strict_Transport_Security" 
       pattern=".*" /> 
      <conditions> 
      <add input="{HTTPS}" pattern="on" ignoreCase="true" /> 
      </conditions> 
      <action type="Rewrite" value="max-age=31536000" /> 
     </rule> 
     </outboundRules> 
    </rewrite> 

모두 설정 우리는 하거나에만 재 작성하여 HSTS를 활성화 할 수 있습니다 재 작성의 필요성은 다음 무엇을 필수 경우

.

왜 다시 쓰기가 필요합니까? https://www.hanselman.com/blog/HowToEnableHTTPStrictTransportSecurityHSTSInIIS7.aspx

Answer 1

이 헤더는 브라우저가 HTTPS를 사용하도록합니다. 응용 프로그램에 어딘가에 HTTP 링크가 있거나 사용자가 HTTP로 URL을 입력하려고하면 브라우저가 https로 리디렉션합니다. HSTS를 사용하려면 유효한 SSL 인증서가 필요합니다. 재 작성은 의무 사항은 아니지만 가지고있는 것이 좋습니다. 사용자가 처음 https를 사용하여 사이트에 입장하면 사이트를 방문 할 때마다 사용자는 만료 될 때까지 자동으로 리디렉션되고 각 방문에 대해 최대 연령 업데이트도 적용됩니다. 그러나 사용자가 http 모드에서 한 번 입력하면 STS는 https로 사이트를 한 번 사용하기 전에는 작동하지 않을 수 있습니다. 재 작성을 사용하는 것이 더 좋습니다.

<system.webServer> 
<httpProtocol> 
<customHeaders> 
<add name=”Strict-Transport-Security” value=”max-age=xxxxxx”/> 
</customHeaders> 
</httpProtocol> 
</system.webServer> 

내가 재 작성을 사용 해달라고, 그리고 내가 HTTP를 사용하려고하면, 그것은 자동으로 재 작성하지 않고 HTTPS로 리디렉션하여 예 HTTPS를 사용하도록 브라우저를 강제하더라도

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security