HSTS max-age менший за один рік
У звітіStrict-Transport-Security max-age below one year
hsts_max_age_below_baseline · Потребує перегляду
Це з’являється, коли заголовок Strict-Transport-Security на ваших сторінках HTTPS задає max-age, менший за один рік. Тоді браузери зберігають правило коротше, а список попереднього завантаження його не приймає. Підвищуйте max-age крок за кроком щонайменше до 31536000.
Серйозність: Низька. Перегляньте це за нагоди: коротший max-age часто є етапом на шляху вгору, а не помилкою.
Чому це важливо
Шпаргалка Скотта Гелма з HSTS рекомендує орієнтуватися на max-age в один рік після багатьох малих підвищень, а список попереднього завантаження HSTS вимагає щонайменше 31536000 секунд, щоб сайт можна було подати.
Що зробити
- Перегляньте знахідку: у ній показано значення
max-age, помічені щонайбільше на десяти сторінках цієї адреси, і кожне різне значення, знайдене на ній. - Якщо поточне значення пропрацювало без проблем, підвищте його, наприклад з місяця до року.
- Надсилайте те саме значення з кожної сторінки й кожного сервера цієї адреси.
Коли залишити як є: якщо ви ще підвищуєте max-age поетапно й плануєте дійти до року, можна залишити як є, доки не дійдете.
Що ми читаємо
Ми читаємо перший заголовок Strict-Transport-Security в кінцевій відповіді кожної просканованої сторінки HTTPS, із власним user agent, і групуємо сторінки за їхньою адресою: bakery.example і www.bakery.example оцінюються окремо.
Адреса фіксується, коли заголовок сторінки можна прочитати і його max-age менший за 31536000 секунд, тобто один рік. Заголовок, який не вдається прочитати, наприклад із повтореною директивою, позначає сторінку як неперевірену, а другий заголовок Strict-Transport-Security ігнорується.
Приклад і докази
Ілюстративний приклад — одна адреса, а не реальний аудит.
https://bakery.example/ та інші її сторінки надсилають:
Strict-Transport-Security: max-age=2592000; includeSubDomains2592000 секунд — це 30 днів, менше за один рік, тому адреса фіксується разом зі сторінками, що його надсилають.
Strict-Transport-Security: max-age=31536000; includeSubDomainsМожливе виправлення, щойно 30 днів минуло без проблем: один рік.
Підтвердити й перевірити знову
Перевірте самі: відкрийте сторінку через HTTPS з інструментами розробника вашого браузера й прочитайте max-age у Strict-Transport-Security.
Повторна перевірка: Повний аудит — запустіть новий повний аудит. Повне охоплення перевірки з придатними для читання захопленими заголовками й без політики, меншої за рік, може зняти попередню знахідку. Видалення заголовка натомість може зробити це правило незастосовним; це не доводить політики на один рік, і сайт може зафіксувати перевірка відсутнього заголовка.
Обмеження та джерела
Перевірка читає значення, яке надсилає кожна сторінка, а не те, що зберіг браузер чи коли воно спливає, і лише кінцеву відповідь, яку кожна сторінка дала нашому сканеру.
Упевненість: Висока, бо значення заголовка зчитується безпосередньо.
Джерела
- Scott Helme, Шпаргалка з HSTS — рекомендує орієнтуватися на max-age в один рік після багатьох малих поступових підвищень. Перевірено 28 вересня 2026.
- hstspreload.org, Подання до списку попереднього завантаження HSTS — вимагає max-age щонайменше 31536000 секунд, тобто один рік, щоб сайт можна було подати до списку попереднього завантаження. Перевірено 28 вересня 2026.
Редакційна перевірка: 29 вересня 2026