請求Safari瀏覽器客戶端忽略HSTS

我已經接管了以前使用HSTS的站點，但由於需要嵌入一些iframe，我需要禁用它。我能夠智能地從一種協議重定向到另一種協議，但Safari尤其不希望忽略其HSTS緩存。請求Safari瀏覽器客戶端忽略HSTS

在這個問題上（Is it possible to ask your users to clear their HTTP Strict Transport Security (HSTS) for your site?）以及其他網站上，我看到，我可以要求瀏覽器通過發送下面的頭從HSTS緩存中刪除我的網站：

Strict-Transport-Security: max-age=0

然而，Safari瀏覽器沒有按」 t似乎關心這一點。在擁有HSTS緩存中站點的同事電腦上，收到該郵件頭並不能防止其自動重定向到https。

任何人都知道一種告訴Safari無視HSTS的方法嗎？

2016-07-26 jacobe

以前是否有可能發送過「預加載」？在Chrome的情況下，這基本上會使它成爲谷歌服務器的Chrome中的一部分。 Safari可能會做類似的事情。 –

Ssllabs（https://www.ssllabs.com/ssltest/）爲檢查所有預加載列表提供了很好的簡單方法。它沒有Safari版本，但至少可以檢查其他版本（哪些Safari還可以使用）。並不是說它不曾用於預加載列表，現在已經刪除。 –

謝謝@JoshuaDeWald。這是可能的，而且看起來合乎邏輯。 – jacobe

它可以設置在頂級域名上。

因此，如果您正在查看www.example.com，則可能已使用includeSubDomains選項從example.com發佈策略，因此它會影響所有子域（包括www子域）。

如果是這樣的話，答案是相似的。從基本域中發佈此頭文件並確保您訪問基本域（即使它只是重定向到主域）。

Strict-Transport-Security: max-age=0; includeSubDomains

另請檢查基礎域的預加載列表。

也值得通過網頁配置和網站的任何腳本或動態部分（例如PHP，Java Servlets等）來查找，以確保當您訪問特定頁面時某些內容仍未設置。

2016-07-29 09:08:23

我其實*是*檢查頂級域名。我們的網站（並且一直）始終由example.com（而不是www.example.com）提供。好主意看所有服務的資產。我還沒有檢查過。 – jacobe

回答