개요

Strict-Transport-Security(HSTS)는 브라우저에게 앞으로 이 사이트에는 반드시 HTTPS로만 접속하라고 지시하는 보안 헤더입니다. 한 번 받으면 max-age 동안 http:// 접근 시도를 브라우저가 자동으로 https://로 승격하고, 인증서 오류를 무시할 수 없게 만듭니다.

이는 SSL 스트리핑(HTTP로 강등시키는 중간자 공격)과 최초 평문 요청 탈취를 막는 핵심 방어책입니다.

자세히

브라우저는 HSTS 헤더를 HTTPS 응답에서만 신뢰합니다(HTTP 응답의 HSTS는 무시). 헤더를 받으면 max-age 동안 그 호스트에 대한 모든 요청을 내부적으로 HTTPS로 강제하며, includeSubDomains가 있으면 모든 하위 도메인에도 동일하게 적용합니다.

preload는 특별합니다. 브라우저 벤더가 관리하는 preload 목록에 도메인을 등재하면, 사용자가 그 사이트를 한 번도 방문한 적 없어도 첫 요청부터 HTTPS가 강제됩니다. 이는 최초 방문 시의 취약 구간까지 없애지만, 목록 등재는 사실상 되돌리기 어렵습니다.

권장 구성은 긴 max-age(예: 2년=63072000)와 includeSubDomains, 그리고 준비가 되면 preload입니다. HTTP(80)에서 HTTPS(443)로의 리다이렉트도 함께 구성해야 최초 접속이 HTTPS로 이어집니다.

문법

Strict-Transport-Security: max-age=<seconds>[; includeSubDomains][; preload]

e.g. Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

지시어 / 값

실무 참고

• preload 주의: includeSubDomains + preload를 등재하면 모든 하위 도메인이 HTTPS여야 합니다. HTTPS를 지원하지 않는 내부 서브도메인이 있으면 접근 불능이 되고, 목록에서 빼는 데 수개월이 걸릴 수 있습니다. 짧은 max-age로 충분히 검증한 뒤 preload에 올리세요.
• 정책을 해제하려면 max-age=0을 HTTPS로 내려보내야 합니다. HTTP로 내리면 무시됩니다.
• HSTS는 전송 계층을 강제할 뿐 콘텐츠 자체의 보안은 다루지 않습니다. XSS·클릭재킹 방어는 CSP·X-Frame-Options 등과 함께 구성해야 합니다.

관련 헤더

관련 상태코드

스펙 근거