HTTP Strict Transport Security（HSTS）は、ユーザーがアドレスバーに「HTTP」の代わりに「http」を書き込んだ場合でも、WebサーバーにBrowserがHTTPの代わりにHTTPを介してそれらと通信するように強制することができるWebセキュリティポリシーです。これは、サーバーのHTTP応答に「厳格な輸送セキュリティ」ヘッダーを含めることによって達成されます。ヘッダーには、ブラウザがHTTPSを介してWebサイトにのみアクセスする必要があることを覚えておく必要がある秒単位の時間を指定する「MAX-AGE」指令が含まれています。

HSTSの危険性は、WebサイトがHSTSで構成され、サイトのSSL証明書でエラーが発生した場合、以前にWebサイトにアクセスしたブラウザがHTTPSを介してWebサイトにアクセスし続けることです。ページと非検証証明書の警告を受け取ります。

このリスクを緩和するために、SSL証明書に対するエラーの影響を最小限に抑えるために、1時間など、最初に短期ポリシーを持つHSTを実装することをお勧めします。その後、証明書のエラーが解決されると、HSTSポリシーの期間を増やすことができます。

さらに、HSTS実装ではエンドからエンドの暗号化のみを提供しないことを考慮に入れる必要があります。HSTSはブラウザにHTTPSを使用してサーバーと通信するように強制していますが、エンドユーザーとサーバー間で攻撃を実行することができます。したがって、ウェブサイトは、送信されたデータの安全性を保証するために、エンドからエンドの暗号化などの他のセキュリティ対策を実装することをお勧めします。
HTTP Strict Transport Security (HSTS) es una política de seguridad web que se puede implementar en los servidores web para forzar a los navegadores a comunicarse con ellos a través de HTTPS en lugar de HTTP, incluso si el usuario escribe "http" en lugar de "https" en la barra de direcciones. Esto se logra mediante la inclusión de un encabezado "Strict-Transport-Security" en la respuesta HTTP del servidor. El encabezado incluye una directiva "max-age" que especifica el tiempo en segundos durante el cual el navegador debe recordar que debe acceder al sitio web solo a través de HTTPS.

El peligro de HSTS es que si un sitio web está configurado con HSTS y se produce un error en el certificado SSL del sitio, los navegadores que han visitado previamente el sitio web seguirán accediendo al sitio web a través de HTTPS, lo que les impedirá acceder a la página y recibir una advertencia de certificado no válido.

Para mitigar este riesgo, se recomienda que los sitios web implementen HSTS con una política de corta duración al principio, como 1 hora, para minimizar el impacto de cualquier error en el certificado SSL. Luego, una vez que se han solucionado los errores en el certificado, se puede aumentar la duración de la política de HSTS.

Además, se debe tener en cuenta que la implementación de HSTS no proporciona cifrado de extremo a extremo por sí solo. Aunque HSTS obliga a los navegadores a utilizar HTTPS para comunicarse con el servidor, todavía se pueden realizar ataques entre el usuario final y el servidor, como ataques de tipo man-in-the-middle (MITM). Por lo tanto, se recomienda que los sitios web también implementen otras medidas de seguridad, como el cifrado de extremo a extremo, para garantizar la seguridad de los datos transmitidos.