在当今互联网环境中，保护用户数据安全变得越来越重要。如果你正在使用 Nginx 作为 Web 服务器，并且已经启用了 HTTPS，那么你还可以通过启用 HSTS（HTTP Strict Transport Security） 安全头来进一步提升网站的安全性。本文将手把手教你如何在 Nginx 中配置 HSTS 安全头，即使是小白也能轻松上手！
什么是 HSTS？
HSTS 是一种 Web 安全策略机制，它告诉浏览器“今后所有与该网站的通信都必须使用 HTTPS”。一旦浏览器接收到这个指令，在指定的时间内（由 max-age 决定），即使用户手动输入 http:// 或点击 HTTP 链接，浏览器也会自动将其转换为 https:// 请求，从而防止中间人攻击和协议降级攻击。
为什么要在 Nginx 中配置 HSTS？
Nginx 是一个高性能的 Web 服务器和反向代理服务器。当你在 Nginx 上部署了 HTTPS 网站后，添加 HSTS 响应头可以显著增强安全性。这不仅符合现代 Web 安全最佳实践，还能帮助你的网站在 Google 等搜索引擎中获得更好的信任评分。
如何在 Nginx 中配置 HSTS 安全头？
配置非常简单！你只需要编辑 Nginx 的站点配置文件，通常位于 /etc/nginx/sites-available/ 目录下。
打开你的网站配置文件（例如 example.com.conf），找到 HTTPS（SSL）的 server 块，然后添加以下指令：
server { listen 443 ssl http2; server_name example.com www.example.com; ssl_certificate /path/to/your/cert.pem; ssl_certificate_key /path/to/your/privkey.pem; # 启用 HSTS 安全头 add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; # 其他配置...}
参数详解：
- max-age=31536000：表示浏览器在 1 年（31536000 秒）内记住该网站只使用 HTTPS。
- includeSubDomains：可选参数，表示 HSTS 策略也适用于所有子域名（如 api.example.com、blog.example.com）。
- preload：可选参数，表示你希望将网站提交到浏览器的 HSTS 预加载列表中（需满足一定条件）。
- always：确保即使在返回错误页面（如 500、404）时也发送 HSTS 头。
重要注意事项
1. 仅在 HTTPS 站点上启用 HSTS：切勿在 HTTP 的 server 块中添加 HSTS 头，否则会导致浏览器无法访问你的网站。
2. 测试阶段建议使用较短的 max-age：例如 max-age=300（5 分钟），确认一切正常后再延长至一年。
3. 启用 includeSubDomains 前请确保所有子域名都支持 HTTPS，否则这些子域名将无法通过 HTTP 访问。
验证 HSTS 是否生效
你可以使用以下方法验证配置是否成功：
- 使用浏览器开发者工具（Network 标签）查看响应头中是否包含
Strict-Transport-Security。 - 使用在线工具如 securityheaders.com 检测你的网站安全头。
总结
通过在 Nginx 中添加一行简单的配置，你就能为网站启用强大的 HSTS 安全机制，有效防止 SSL 剥离和中间人攻击。无论你是个人博客站长还是企业运维人员，这项配置都值得立即实施。
记住，安全不是一蹴而就的，而是由一个个小细节累积而成。现在就去检查你的 Nginx 配置，加上 HSTS 安全头吧！
来源：
https://www.vpshk.cn/
