WordPress网站HSTS设置教程与SEO优化

确保您的WordPress网站安全是至关重要的，尤其是在防范黑客攻击方面。通过实施多种增强功能和最佳安全实践，您可以有效地加固您的网站。如果您的WordPress网站已通过HTTPS运行，那么添加HSTS（严格传输安全）标头是一项强烈推荐的安全措施，它能有效防止中间人攻击和cookie劫持。

### 什么是HSTS（严格的传输安全）？

HSTS代表HTTP严格传输安全性，由IETF在2012年的RFC 6797中指定。其目的是在网站通过HTTPS运行时，强制浏览器使用安全连接。作为Web服务器上的安全标头，HSTS在响应标头中表现为Strict-Transport-Security。HSTS的重要性体现在以下几个方面：

– 访问者尝试使用不安全版本（HTTP://）访问网站时，将自动重定向到安全版本（HTTPS://）。
– 旧的HTTP书签或直接输入HTTP版本网址的用户将免受中间人攻击。这类攻击中，攻击者会篡改通信内容，使双方误以为仍在安全通信。
– 防止无效证书消息被覆盖，从而保护用户信息。
– 阻止cookie劫持，即通过不安全连接窃取会话cookie，这些cookie可能包含信用卡信息、姓名、地址等敏感数据。

### 如何将HSTS添加到WordPress网站？

从技术角度看，您需要将HSTS添加到Web服务器，并应用于所有对WordPress站点的HTTP请求。通常在从HTTP重定向到HTTPS的过程中添加301重定向，Google明确表示可以同时使用这两种方法。虽然我们的系统默认优先支持HTTPS版本，但您也可以通过将HTTP站点重定向到HTTPS版本，并在服务器上实施HSTS标头，让其他搜索引擎更清晰地了解这一设置。

Zineb Ait Bahajji，谷歌安全团队成员表示，HSTS标头可以应用不同的指令和安全级别。最基本的一种是使用max-age指令，它定义了Web服务器仅通过HTTPS传输的时间（以秒为单位）。

#### 在Apache中启用HSTS

将以下代码添加到您的虚拟主机文件中：

“`
Header always set Strict-Transport-Security max-age=31536000
“`

#### 在NGINX中启用HSTS

将以下代码添加到您的NGINX配置中：

“`
add_header Strict-Transport-Security max-age=31536000
“`

实际上，添加HSTS标头还能带来性能优势。如果有人尝试通过HTTP访问您的站点，系统会自动重定向到HTTPS版本，避免了不必要的HTTP请求。

### 预加载HSTS

HSTS预加载是指将您的网站和/或域添加到浏览器内置的已批准HSTS列表中。谷歌官方维护了这个列表，Chrome、Firefox、Opera、Safari、IE11和Edge等浏览器都使用此列表。将您的站点提交到官方HSTS预加载列表，可以进一步提升安全性。

然而，要满足预加载资格，您必须满足以下要求：

– 服务器必须拥有有效的SSL/TLS证书。
– 所有流量必须重定向到HTTPS。
– 在基本域上提供HSTS。
– 通过HTTPS为所有子域提供服务，特别是www子域（如果存在）。
– 到期时间至少为1年（31536000秒）。
– 必须指定includeSubdomains指令。
– 必须指定preload指令。

为此，您需要在HSTS标头中添加额外的子域和预加载指令。以下是更新后的HSTS标头示例：

“`
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
“`

**公平警告**：从预加载列表中删除您的域可能是一个困难且耗时的过程，因此请确保您将长期使用HTTPS。

### 验证HSTS标头

有多种简单方法可以检查HSTS是否在您的WordPress网站上运行。您可以使用Google Chrome Devtools，点击“网络”选项卡并查看标题选项卡。例如，在闪电博网站上，您可以看到正在应用HSTS值：“strict-transport-security: max-age=31536000”。此外，您还可以使用免费的在线工具（如securityheaders.io）扫描您的WordPress网站，该工具会显示是否应用了strict-transport-security标头。

### HSTS浏览器支持

根据Caniuse的数据，浏览器对HSTS的支持非常广泛，全球超过80%，美国超过95%。IE11在2015年添加了对HSTS的支持，目前唯一不支持它的现代浏览器是Opera Mini。我们建议您阅读Tim Kadlec关于HSTS和Let’s Encrypt的文章，以获取更多相关信息。

### HSTS对SEO的影响

在您的网站获得批准并包含在HSTS预加载列表中后，您可能会在Google Search Console或其他第三方SEO工具中看到关于307重定向的警告。这是因为当有人尝试通过HTTP访问您的网站时，浏览器会进行307重定向，而不是301重定向（如下所示）：

“`
HSTS – 严格传输安全307重定向
“`

通常，307重定向用于临时重定向，而301重定向用于永久移动的URL。那么，为什么这里使用307重定向？这对SEO有何影响？

实际上，301重定向仍在幕后发生。307重定向发生在浏览器级别，而不是服务器级别。您可以通过在服务器级别检查重定向的工具（例如httpstatus）运行该站点，会发现实际上301重定向仍在发生。因此，您无需担心HSTS标头会影响您的SEO。

文章网址：https://www.wpbull.com/jiqiao/14866.html