Сторінки HTTPS не надсилають заголовка HSTS

Чому це важливо

RFC 6797, стандарт цього заголовка, визначає його як спосіб для сайтів оголосити себе доступними лише через захищені з’єднання. Шпаргалка Скотта Гелма з HSTS каже, що жоден сайт без нього не завершений, і рекомендує орієнтуватися на max-age в один рік після багатьох малих поступових підвищень.

Що зробити

Перегляньте знахідку: у ній показано до десяти сторінок, обидва читання кожної та куди переспрямували ваші адреси з http://.
Надсилайте Strict-Transport-Security: max-age=300 зі своїх відповідей HTTPS, а потім підвищуйте його кроками до року, щойно нічого не ламається.
Додавайте includeSubDomains, лише коли кожен субдомен працює через HTTPS.

Що ми читаємо

Ми читаємо кожну проскановану сторінку HTTPS з власним user agent, проходячи переспрямування, і шукаємо Strict-Transport-Security на кожному кроці HTTPS дорогою. Коли сторінка відповідає кодом 200 з повним HTML і без такого заголовка, ми одразу читаємо її вдруге, щоб підтвердити. Ми також запитуємо http:// для вашого домену та його адреси з www..

Адреса сайту фіксується, коли кожній HTML-сторінці цієї адреси бракує заголовка в обох читаннях, а обидві адреси з http:// переспрямовують на сторінку HTTPS, що відповідає кодом 200. Заголовок на будь-якому кроці будь-якої однієї сторінки, з будь-яким значенням, означає, що знахідки немає.

Якщо будь-яка з адрес із http:// не відповідає або сайт розміщено на субдомені, відмінному від www., перевірка не може дійти висновку; якщо http:// взагалі не переспрямовує на HTTPS, це натомість фіксує інша перевірка. Результат потребує повного сканування: коли сканування зупинилося на ліміті сторінок або просканована сторінка не відповіла кодом 200, перевірка не може дійти висновку.

Приклад і докази

Ілюстративний приклад — один невеликий сайт прочитано двічі, а не реальний аудит.

http://bakery.example/ і http://www.bakery.example/ обидві переспрямовують на https://bakery.example/, а кожна сторінка відповідає на обидва читання так:

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8

Жодна відповідь не має Strict-Transport-Security, тому https://bakery.example фіксується один раз, зі своїми сторінками.

Strict-Transport-Security: max-age=31536000

Можливе виправлення, щойно менші значення пропрацювали без проблем: надсилайте цей заголовок у кожній відповіді HTTPS.

Підтвердити й перевірити знову

Перевірте самі: відкрийте свою головну сторінку через HTTPS з інструментами розробника вашого браузера й пошукайте Strict-Transport-Security у заголовках відповіді.

Повторна перевірка: Повний аудит — запустіть новий аудит сайту. Знахідка закривається, коли повне сканування, у якому кожна сторінка відповідає кодом 200 через HTTPS, а обидві адреси з http:// переспрямовують на HTTPS, знаходить заголовок на ваших сторінках. Сканування, обірване лімітом сторінок, або сторінка, що не відповідає кодом 200, підтвердити цього не може.

Обмеження та джерела

Перевірка бачить, чи є заголовок, а не його значення; значення читають інші перевірки. Вона читає лише HTML-сторінки, сайт, який надсилає заголовок лише на деяких сторінках, не фіксується, і вона не може оцінити сайт на субдомені, відмінному від www..

Упевненість: Висока, бо кожну сторінку прочитано двічі, а заголовок зчитується безпосередньо.

Джерела

IETF, HTTP Strict Transport Security (HSTS) — визначає заголовок як спосіб для сайтів оголосити себе доступними лише через захищені з’єднання і каже браузерам ігнорувати його у відповідях, отриманих через незахищений транспорт. Перевірено 28 вересня 2026.
Scott Helme, Шпаргалка з HSTS — каже, що жоден сайт без HSTS не завершений, і рекомендує орієнтуватися на max-age в один рік після багатьох малих підвищень. Перевірено 28 вересня 2026.

Редакційна перевірка: 29 вересня 2026

HSTS max-age менший за один рік — заголовок надсилається, але його max-age менший за рік.
Версія вашого сайту з http:// не переспрямовує на https:// — адреса з http:// взагалі не переспрямовує на HTTPS.