human
私は倫理的ハッキングレポートを書いていますが、監査済みサーバーに構成が欠落していることがわかりました：HTTP -Strict-Transport-Security

ある時点で、これの危険性を説明し、別の時点でそれを緩和するための技術的な推奨事項が説明されています
gpt
HTTP Strict Transport Security（HSTS）は、ユーザーがアドレスバーに「HTTP」の代わりに「http」を書き込んだ場合でも、WebサーバーにBrowserがHTTPの代わりにHTTPを介してそれらと通信するように強制することができるWebセキュリティポリシーです。これは、サーバーのHTTP応答に「厳格な輸送セキュリティ」ヘッダーを含めることによって達成されます。ヘッダーには、ブラウザがHTTPSを介してWebサイトにのみアクセスする必要があることを覚えておく必要がある秒単位の時間を指定する「MAX-AGE」指令が含まれています。

HSTSの危険性は、WebサイトがHSTSで構成され、サイトのSSL証明書でエラーが発生した場合、以前にWebサイトにアクセスしたブラウザがHTTPSを介してWebサイトにアクセスし続けることです。ページと非検証証明書の警告を受け取ります。

このリスクを緩和するために、SSL証明書に対するエラーの影響を最小限に抑えるために、1時間など、最初に短期ポリシーを持つHSTを実装することをお勧めします。その後、証明書のエラーが解決されると、HSTSポリシーの期間を増やすことができます。

さらに、HSTS実装ではエンドからエンドの暗号化のみを提供しないことを考慮に入れる必要があります。HSTSはブラウザにHTTPSを使用してサーバーと通信するように強制していますが、エンドユーザーとサーバー間で攻撃を実行することができます。したがって、ウェブサイトは、送信されたデータの安全性を保証するために、エンドからエンドの暗号化などの他のセキュリティ対策を実装することをお勧めします。