Google启动HSTS机制，浏览器强制执行HTTPS加密协议

据国外媒体信息透露，Google拟定计划联合全球各大主流浏览器（Chrome、Firfox、Safari、Internet Explorer、Edge和Opera）启动HSTS预置名单，对常用网站的顶级域名采取强制执行HTTPS安全连接。（顶级域名是指URL以.com、.org、.net、.gov、.int、.edu为后缀结尾的域名。）

近年来，Google一直在推进HTTPS加密协议，希望互联网能达到无处不加密的理想安全状态。今年年初，谷歌开始逐步实施将HTTP页面标记“不安全”的计划。10月开始这一措施再次加大力度，对含有文本输入表单的HTTP页面标记“不安全”，并将对隐身模式下的所有HTTP页面标记“不安全”。如果网站仍旧使用HTTP访问时，Google会在地址栏中放置一个“不安全”的指示。

什么是HSTS？

HSTS的全称是HTTP Strict-Transport-Security，即：“HTTP严格传输安全”。它是一个Web安全策略机制（web security policy mechanism），强制客户端（如浏览器）使用HTTPS与服务器创建连接。

采用HSTS协议的网站将保证浏览器始终连接到该网站的HTTPS加密版本，不需要用户手动在URL地址栏中输入加密地址。该协议将帮助网站采用全局加密，用户每一次访问的都是该网站的安全版本。但是大前提是所有的域名都已正确部署SSL证书。

HSTS的工作机制

服务器端配置支持HSTS后，会在给客户端返回的HTTP首部中携带HSTS字段。客户端获取到该信息后，会将所有HTTP访问请求在内部做307跳转到HTTPS，整个过程而无需任何网络过程，也就是直接实现第一次TCP握手开始就是HTTPS通信。

HSTS的作用

HSTS的作用除了节省HTTPS通信RT和强制使用HTTPS，还包括：

• 阻止基于SSLStrip的中间人攻击；

• 万一证书有错误，则显示错误，用户不能回避警告。

HSTS预加载列表可以包含域、子域和顶级域名。将所有顶级域名置于列表中，浏览器将自动启动与其相关的任何域的HTTPS连接。在默认情况下，如果域已经在顶级域名级别的预载列表中，那么用户尝试进行首次连接时，可以避免不安全的攻击风险。

目前，Google将添加了同名的.google，增加了其他44个顶级域名到HSTS预加载列表。在其控制下执行HSTS机制，强制跳转HTTPS加密安全连接。如用户访问，浏览器就是自动转到安全模式访问。

相信不久的将来，HSTS会成为网络安全的重要趋势。未来越来越多的域名注册商将顶级域名添加到HSTS预加载列表，因此SSL证书部署HTTPS加密协议的日益需求将比以往更加紧迫。数安时代（GDCA）是国内颁发SSL证书的权威机构，并已通过WEBTRUST国际认证，具备了国际化的电子认证服务能力。其旗下的SSL证书达数十种类型，确保国内的企业或个人用户都能根据自主的需求选择最佳的HTTPS解决方案。