Comment savoir si un site web utilise HSTS

Je suis totalement nouveau pour le roulage et suis en train de vérifier si les sites web use Strict-Transport-Security.

Je suis en cours d'exécution hors de conseils. J'ai dit à vérifier Chrome liste préchargée et exécuter 

curl -D - https://www.example.com | head -n 20

pour vérifier Strict-Transport-Security-têtes.

Mais la "tête" de commande généré une erreur, et était inconnu.

Des idées?

ATM je suis sous Win XP, aura une distro linux dans quelques jours.

Grâce.

InformationsquelleAutor Dental Floss | 2012-07-30
  1. 21

    Que la méthode est très bien.

    $ curl -s -D- https://paypal.com/| grep Strict
Strict-Transport-Security: max-age=14400

    Comme vous l'avez remarqué, certains serveurs refusent simplement de l'honneur HEAD demandes. curl va imprimer les en-têtes d'un GET demande avec -v:

    $ curl -s -vv https://paypal.com/2>&1 | grep Strict
< Strict-Transport-Security: max-age=14400

    La < signifie que l'en-tête est celui retourné par le serveur.

    Réelle example.com, comme dans votre exemple, ne fonctionnera pas comme il ne l'écoute pas sur https:// à tous:

    $ curl -D- https://www.example.com
curl: (7) couldn't connect to host

    Comme le Strict-Transport-Security en-tête est seulement acceptée si elle est diffusé sur https://, il est très sûr de supposer que tout site qui ne répond pas sur https:// n'est pas à l'aide de STS, d'autant qu'il n'y aurait aucune raison de le faire.

    • En fait, lorsque vous communiquez avec l'utilisation wget et contact HSTS site sur http, vous bénéficiez de: URL transformed to HTTPS due to an HSTS policy et vous vous retrouvez sur https
    InformationsquelleAutor FauxFaux
  2. 1

    Chrome a un HSTS dispositif de contrôle de chrome://net-internals#hsts

    Mais sachez que Chrome aime aussi les entrées ajoutées chaque fois que vous demandez un site https.

    Juste eu chrome me diriger vers https pour un site interne qui n'a pas obtenu un https cert. Même pas à l'écoute sur le 443. Sans surprise curl n'a pas de retour à une Stricte en-tête. J'ai ensuite trouvé de chrome à l'intérieur de HSTS liste. Peut être dégagée à partir de google chrome://net-internals#hsts à l'exclusion de la mondiale de Google maintenu liste.

    InformationsquelleAutor rob