Tüm Yazılar
2024-05-20Hünkar Döner

HSTS Nedir? Tarayıcınızdaki Gizli Güvenlik Yasası

SecurityHSTSWebHTTPSCybersecurity
H

HSTS: Tarayıcınızdaki Gizli Güvenlik Yasası

Bir web sitesine girdiğinizde adres çubuğuna genellikle sadece google.com yazarız. https:// kısmını tarayıcının tamamlamasını bekleriz. İşte tam bu yönlendirme (Redirect) anında, saldırganlar araya girip sizi sahte bir siteye yönlendirebilir (Man-in-the-Middle). HSTS (HTTP Strict Transport Security), bu riski ortadan kaldıran bir güvenlik mekanizmasıdır.

HSTS Nasıl Çalışır?

HSTS, sunucunun tarayıcıya gönderdiği özel bir HTTP başlığıdır (header).

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Bu başlığı alan tarayıcı (Chrome, Firefox vb.) şunları kaydeder:

  1. "Bu siteye (example.com) bir daha asla HTTP ile bağlanma."
  2. "Kullanıcı http://example.com yazsa bile, sen onu ağa çıkmadan tarayıcı içinde otomatik olarak https://example.com adresine çevir."
  3. "Sertifika hatası varsa (örn: süresi dolmuş), kullanıcının 'Yine de devam et' demesine izin verme, bağlantıyı tamamen kes."

Neden HSTS Kullanmalıyız?

  • SSL Stripping Saldırılarını Önler: Saldırganların HTTPS bağlantısını HTTP'ye düşürmesini (downgrade) engeller.
  • Cookie Güvenliği: Oturum çerezlerinin (Session Cookies) sadece güvenli kanal üzerinden gönderilmesini garanti eder.
  • Kullanıcı Hatasını Önler: Kullanıcılar yanlışlıkla HTTP linkine tıklasa bile güvende kalır.

HSTS Preload List Nedir?

HSTS başlığını tarayıcının öğrenmesi için kullanıcının siteye en az bir kez güvenli şekilde girmesi gerekir. Peki ya ilk girişte saldırı olursa? Bunu önlemek için HSTS Preload List vardır. Bu, Google tarafından tutulan ve Chrome, Firefox, Safari gibi tarayıcıların içine gömülen devasa bir listedir. Sitenizi bu listeye eklerseniz (hstspreload.org), dünyadaki hiçbir tarayıcı sitenize HTTP ile bağlanmayı denemez bile. Doğrudan HTTPS ile başlar.

Nasıl Aktif Edilir?

Nginx konfigürasyonunuza şu satırı eklemeniz yeterlidir:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Güvenli bir web deneyimi için SSL sertifikası (HTTPS) artık yeterli değil; HSTS bir zorunluluktur.