如何在 Nginx 中启用 HTTP 严格传输安全 (HSTS)

作者汲古

HTTP Strict Transport Security，通常称为 HSTS，是任何旨在增强服务器安全性的精通技术的服务器管理员武器库中不可或缺的组成部分。本质上，HSTS 是一种策略机制，它命令 Web 浏览器仅通过 HTTPS 与服务器交互，从而消除任何未加密的 HTTP 请求的可能性。这样做的好处是加强了对降级攻击和 cookie 劫持的防御，这可能威胁到服务器完整性和用户隐私。

在 NGINX 中启用 HSTS 的步骤

让我们深入研究在 NGINX 服务器上启用 HSTS 的分步过程。每个操作在设置过程中都是至关重要的，有助于通过额外的安全层来强化您的服务器。

创建当前配置的备份

迈出旅程的第一步，我们首先创建当前 NGINX 配置的备份。此操作作为一种保险政策，允许您在配置过程中出现任何意外问题时恢复到原始设置。

也可以看看:

sudo cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.backup

上面的命令创建了您的 NGINX 配置文件的精确副本，并将其存储在不同的名称下以便妥善保管。

访问 NGINX 配置文件

确保备份安全后，下一阶段涉及深入研究 NGINX 配置文件。我们通过使用您选择的文本编辑器来实现这一点。

sudo nano /etc/nginx/nginx.conf

在这里，我们使用nano文本编辑器打开配置文件。您可以替换nano为您喜欢的文本编辑器。

将 HSTS 集成到您的服务器块中

下一步要求您遍历server配置文件中块的景观，您将在其中附加一行关键代码。

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

上述命令有助于将 HSTS 指令合并到您的 NGINX 配置中。这一特定代码行执行两个关键操作。

首先，它将max-age参数设置为秒值31536000，即一年。这指示浏览器记住此安全规则并在整个持续时间内努力执行它。

其次，该includeSubDomains指令扩大了 HSTS 的范围，确保此安全层涵盖您服务器的所有子域。

然而，探索并不止于此。HSTS 包含额外的配置选项，可以增强您的安全设置。

深入研究：预加载选项

该preload指令是 HSTS 提供的高级配置选项：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

包含preload在您的 HSTS 配置中表示您同意将您的站点包含在 HSTS 预加载列表中。此列表由主要浏览器维护，从第一次连接开始就强制使用 HTTPS 连接到您的站点。这消除了攻击者在 HSTS 策略生效之前可能利用的任何潜在漏洞。

必须了解该preload指令的严重性。从预加载列表中删除不是一个瞬间的过程，需要大量的时间和精力。因此，preload仅当您有信心无限期地支持 HTTPS 连接时才使用该指令。

提交您的更改

成功添加 HSTS 指令后，下一步就是将这些更改整合到服务器的内存中。保存您的更改并退出文本编辑器，标志着此阶段的完成。

分析您的配置错误

现在是我们过程中的关键步骤：检查新配置中的错误。它类似于校对练习，我们的目标是识别并纠正任何可能会破坏服务器操作的语法问题：

sudo nginx -t

此命令启动测试运行，查找配置中的语法错误。如果配置正确，您就可以进行最后一步了。

重启 NGINX 以实施更改

一旦我们确定了配置的正确性，就该重启 NGINX 服务器以使这些更改生效。

sudo systemctl restart nginx

通过运行此命令，您可以有效地实施新的 HSTS 设置。

确保 HSTS 实施的成功

设置 HSTS 后，您可能想知道如何验证其实现。解决方案很简单——使用像HSTS Preload List Submission这样的在线验证工具。只需输入您网站的 URL，然后让该工具为您完成验证工作。它会检查您网站的标头并检查是否存在 HSTS 政策，以确保您的设置过程成功。

破译 HSTS 和 SEO 之间的联系

在您的 NGINX 服务器上实施 HSTS 的旅程通常以关于它对 SEO 的影响的询问结束。虽然 HSTS 可能无法直接获得更高的 SEO 排名，但它对服务器安全和用户数据隐私的影响是深远的，并且在 SEO 领域发挥着至关重要的作用。

HSTS 通过强制执行安全的 HTTPS 连接，有助于确保保护用户数据。这增强了用户之间的信任，这是用户体验不可或缺的一部分，这是谷歌在评估网站排名时密切关注的一个领域。HSTS 的存在表示对安全浏览和用户安全的承诺，通过提高用户信任度和满意度间接增强您网站的 SEO。

此外，HSTS 还可以防止混合内容问题，当安全的 HTTPS 页面包含通过不太安全的 HTTP 协议加载的资源（如图像或脚本）时，就会发生混合内容问题。此类问题会损害用户体验并削弱信任，从而对 SEO 排名产生负面影响。实施 HSTS 有助于确保安全地提供所有内容，从而避免这些问题。

此外，HSTS 有助于提高站点速度。一旦浏览器收到您网站的 HSTS 政策，它就会自动通过 HTTPS 连接。这消除了从 HTTP 重定向到 HTTPS 的需要，减少了 HTTP 请求的总数，并可能缩短加载时间。网站速度是 Google 排名算法中考虑的另一个因素，因此任何性能改进都可能间接有利于您网站的 SEO。

从本质上讲，虽然 HSTS 在 SEO 中的作用并不直接，但它对用户安全、信任和网站性能的影响使其成为任何旨在在搜索引擎上获得高可见度的网站的重要考虑因素。因此，HSTS 的实施不仅仅是一种安全增强；这是提高整体用户体验并为 SEO 成功奠定坚实基础的一步。

最后一句话：HSTS 在 NGINX 中的重要性

总之，在您的 NGINX 服务器上启用 HSTS 是朝着增强服务器安全性和提高用户信任度迈出的一步。通过遵循这份细致的指南，您将成功实施 HSTS，有效地为您的用户创建一个更安全、更安全的浏览环境。

深入研究：其他资源

我们精选了一系列重要资源来扩展您的知识并加深您对 HSTS 和 NGINX 的理解。这些参考资料提供了所讨论主题的广阔视野，阐明了新的见解并强化了本指南中提出的概念。

  1. NGINX 官方文档：直接来自 NGINX 制造商的综合资源，该文档提供了有关 NGINX 各个方面的丰富信息，从基本配置到负载平衡和缓存等高级功能。如果您渴望更深入地研究 NGINX 的技术细节，这是您的首选资源。
  2. Mozilla Developer Network (MDN) – HTTP Strict Transport Security (HSTS)：该 MDN 页面深入介绍了 HSTS，提供了对其机制和指令的详细解释。对于那些寻求扩展网络安全协议知识的人来说，这是一个非常宝贵的工具。

类似文章