web-dev-qa-db-ja.com

HTTP Strict TransportSecurityを取り消す/無効にする

HSTSヘッダー情報を取り消すにはどうすればよいですか？

HTTPSからHTTPに移行したいWebサイトがあります。

HTTPのみを提供するようにApache2を再構成しました。残念ながら、ChromeとFirefoxは、HTTPSバージョンのページを自動的に開こうとします。

これは、以前の構成がまだ有効であると思われるためです。

<VirtualHost *:443>
...
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
...
</VirtualHost>
ubuntu-14.04apache2
2
kerner1000

HSTSヘッダーの考え方は、ページにアクセスする各クライアントが「時間まで（[now] + [max-age]秒）、このサイトにはHTTPSのみを使用してアクセスする必要がある」という情報をローカルに保存することです。これは、クライアントに暗号化されていない接続を使用させようとする中間者攻撃を阻止するためのものです。

そのため、サーバー側で、HSTSヘッダーの有効期限が切れていないHTTPバージョンのページにクライアントをリダイレクトしようとすると、ユーザーに恐ろしい警告メッセージが表示される可能性があります。これを回避する唯一の方法（指定されたHSTS期間が終了するのを待つ以外）は、HSTSヘッダーの使用中にサイトにアクセスしたクライアントから保存されたHSTS情報を削除することです。

ChromeおよびFirefox）のこの手順の説明は次のとおりです。

Chromeの手順

次の場所に移動します：chrome：// net-internals /＃hsts

次に、サイトの完全修飾名を[クエリドメイン]ボックスに入力し、[クエリ]ボタンをクリックして、HSTS情報がそこにあることを確認します。次に、[ドメインセキュリティポリシーの削除]セクションに同じ名前を入力し、[削除]をクリックします。

Firefoxの手順

開いているすべてのタブを閉じてから、履歴ウィンドウ全体を開きます（Windows/Linuxの場合はControl-Shift-H、Macの場合はCommand-Shift-Hを押すか、メニューバーから[履歴]-> [すべての履歴を表示]を選択します）。サイトを見つけて右クリックし、[このサイトについて忘れる]を選択します。

自動化できるメソッドが必要な場合は、FirefoxプロファイルディレクトリFirefoxが実行されていない場合のSiteSecurityServiceState.txtファイルを編集することもできます。使用するエディターは、Unix/Linuxスタイルの行末を使用する必要があります。 <fully-qualified name of your site>:HSTSで始まる行を見つけて、削除します。

4
telcoM