Выбор ответа Middle Что происходит при вводе адреса обновлено
HSTS при вводе адреса
Вопрос
Пользователь ввёл http://bank.ru. Ранее сайт отдал Strict-Transport-Security: max-age=31536000. Что сделает браузер?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Сам заменит схему на HTTPS и сразу отправит запрос по HTTPS, минуя HTTP. HSTS говорит браузеру: в течение max-age ходить на домен только по HTTPS.
Варианты ответа
- Сам заменит схему на HTTPS и сразу отправит запрос по HTTPS, минуя HTTPправильный ответ
- Отправит запрос по HTTP, а сервер ответит редиректом 301 на HTTPS-версию
- Покажет предупреждение о небезопасном сайте и остановится
- Отправит запросы параллельно по HTTP и HTTPS и возьмёт тот, что ответит быстрее
Разбор
HSTS говорит браузеру: в течение max-age ходить на домен только по HTTPS. Браузер делает внутренний редирект (в DevTools он виден как 307 Internal Redirect), и незащищённый запрос не уходит в сеть, поэтому его нельзя перехватить. Редирект с сервера был бы нужен без HSTS и как раз уязвим при первом заходе. Предупреждений и параллельных запросов здесь нет.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.