Crei un valore header HSTS con max-age e preload
Una durata di 31536000 secondi con entrambe le opzioni attive diventa un’unica riga: prima max-age, poi includeSubDomains e infine preload. La incolli nel server o nella regola del proxy senza unire frammenti a mano. Gratis nel suo browser.
- Gratis
- Funziona nel suo browser
- Senza registrazione
- I suoi dati restano sul dispositivo
Esegui gratis nel browser
Esempio risolto
- Età massima (max-age)
- 31.536.000
- Valore
- max-age=31536000; includeSubDomains; preload
Questo generatore di valori per header HSTS trasforma una durata in secondi e due opzioni booleane esplicite in un valore Strict-Transport-Security ordinato correttamente. Inizia sempre con la direttiva obbligatoria max-age e aggiunge includeSubDomains e preload solo quando Lei lo richiede. Durate negative e tipi di campo errati vengono rifiutati, invece di essere convertiti in una configurazione apparentemente plausibile che non esprime la politica prevista.
Scelga max-age come durata consapevole della politica
Zero è valido e viene spesso usato per chiedere ai browser di eliminare una politica HSTS memorizzata in precedenza. Un valore positivo mantiene attiva la politica finché scade il periodo ricordato o finché una nuova risposta valida la sostituisce. Scelga il numero in base alla strategia di distribuzione e ripristino, non come semplice dettaglio di formattazione.
Lo strumento rifiuta valori frazionari, assenti, non numerici e negativi, perché non rappresentano in sicurezza i secondi interi richiesti.
Comprenda la portata di includeSubDomains e preload
Prima di abilitarla, censisca le zone DNS delegate e i servizi gestiti autonomamente. Il token preload è diverso: esprime un’intenzione collegata ai programmi di precaricamento dei browser, ma aggiungere la parola non invia il dominio, non garantisce l’accettazione e non modifica subito alcun elenco. Tali programmi hanno requisiti correnti propri per ammissione e rimozione, da consultare separatamente.
Il generatore consente le opzioni in modo indipendente perché costruisce deterministicamente il valore, senza imporre le regole di un programma specifico. I token scelti mantengono la grafia convenzionale e compaiono dopo max-age in ordine stabile; quelli omessi o falsi non compaiono. Un ordine costante semplifica revisioni, test di riferimento e confronti fra configurazioni infrastrutturali generate.
Distribuisca e verifichi il valore in sicurezza
Copi il valore restituito nell’header di risposta Strict-Transport-Security, senza considerarlo una riga completa. La configurazione di un server web offre normalmente un campo per il nome e uno per il valore. Verifichi la risposta finale sul perimetro pubblico, poiché codice applicativo, proxy, rete di distribuzione o pannello di hosting possono sovrascrivere, duplicare o rimuovere l’header.
Una distribuzione graduale può iniziare con una durata positiva breve, seguita da monitoraggio e incremento programmato quando tutti gli host interessati risultano affidabili. Se includeSubDomains è attivo, provi anche host annidati rappresentativi. Se preload è attivo, controlli separatamente i requisiti del programma prima di presentare il dominio.
La funzione è pura e deterministica: input identici restituiscono sempre la stessa stringa, nessuna richiesta lascia l’ambiente e nessuna configurazione viene conservata.
Casi d'uso
Generi configurazioni per proxy inversi
Trasformi impostazioni HSTS verificate in un valore stabile per proxy, bilanciatori o regole perimetrali.
Uniformi i modelli infrastrutturali
Produca la stessa grafia e lo stesso ordine delle direttive in ogni ambiente, senza comporre stringhe a mano.
Pianifichi la distribuzione di HSTS
Confronti politiche brevi, lunghe, estese ai sottodomini e predisposte al precaricamento prima della produzione.
Domande frequenti
Il risultato include il nome dell’header?
No. Il valore è destinato al campo Strict-Transport-Security configurato dal Suo server, proxy o applicazione.
max-age può essere zero?
Sì. Zero è un valore non negativo valido e chiede a un browser compatibile di far scadere la politica HSTS memorizzata per l’host.
Che cosa accade se max-age è negativo?
La richiesta termina con un errore di input non valido, perché una durata negativa non forma una direttiva max-age valida.
Aggiungere preload inserisce il dominio in un elenco?
No. Aggiunge soltanto il token al valore. I programmi prevedono procedure separate di idoneità, invio e rimozione.
Conviene attivare sempre includeSubDomains?
No, solo se ogni sottodominio funziona con connessione sicura. Altrimenti un sottodominio di sviluppo, di un fornitore o datato può diventare irraggiungibile. Prima di attivarlo, censisca le zone e i servizi gestiti separatamente.
Strumenti correlati
Per sviluppatori — accesso via API
Tutto quello che vedi in questa pagina è disponibile anche via API. Questa sezione è per i team che vogliono integrarlo nei propri sistemi; chi non ne ha bisogno può semplicemente usare lo strumento qui sopra.
Endpoint
Autenticazione con Bearer token: un POST mette in coda l'attività e il risultato arriva via webhook o link firmato.
Chiamala dal tuo stack
curl -X POST https://api.kit.forhosting.com/security/hsts-header-build \
-H "Authorization: Bearer $KIT_KEY" \
-H "Content-Type: application/json" \
-d '{"max_age":31536000}'const res = await fetch("https://api.kit.forhosting.com/security/hsts-header-build", {
method: "POST",
headers: {
"Authorization": `Bearer ${process.env.KIT_KEY}`,
"Content-Type": "application/json"
},
body: JSON.stringify({
"max_age": 31536000
})
});
const { task_id } = await res.json();import os, requests
res = requests.post(
"https://api.kit.forhosting.com/security/hsts-header-build",
headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
json={
"max_age": 31536000
},
)
task_id = res.json()["task_id"]<?php
$res = file_get_contents("https://api.kit.forhosting.com/security/hsts-header-build", false, stream_context_create([
"http" => [
"method" => "POST",
"header" => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
"content" => '{"max_age":31536000}',
],
]));
$task = json_decode($res, true);body := bytes.NewBufferString(`{"max_age":31536000}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/security/hsts-header-build", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)Esempio di richiesta
{
"max_age": 31536000
}Esempio di risposta
{
"task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
"type": "security.hsts_header_build",
"status": "queued",
"_links": {
"result": "/tasks/tsk_…/result"
}
}L'API è asincrona: ricevi subito un task_id e puoi fare polling fino a 1 richiesta al secondo.
Prezzi
Prezzo pubblicato, senza token né crediti. Se l'attività fallisce, non paghi.
Errori
| HTTP | Codice | Significato |
|---|---|---|
401 | unauthorized | Chiave API mancante o non valida: controlla l'header Authorization. |
402 | insufficient_balance | Credito esaurito: ricarica per continuare a eseguire attività. |
404 | unknown_type | Tipo di attività sconosciuto: controlla il campo type della richiesta. |
429 | rate_limited | Troppe richieste in poco tempo: rallenta e riprova tra qualche secondo. |
Note tecniche
Il risultato è pronto per un header di risposta HTTPS, una regola di proxy inverso o un modello infrastrutturale.
Scelga max-age come durata consapevole della politica
La direttiva obbligatoria max-age indica a un browser compatibile per quanti secondi deve ricordare che un host è raggiungibile soltanto tramite HTTPS. Questo generatore accetta la durata come intero non negativo e la scrive per prima, senza notazione esponenziale, arrotondamenti o unità aggiunte. Prima di aumentarlo, verifichi che HTTPS funzioni per ogni percorso, che i certificati si rinnovino in modo affidabile e che i reindirizzamenti non nascondano dipendenze disponibili solo via HTTP. L’output è soltanto il valore; il server o proxy deve associarlo al nome Strict-Transport-Security in una risposta HTTPS.
Comprenda la portata di includeSubDomains e preload
Attivi includeSubDomains quando la politica che impone HTTPS deve coprire l’host indicato e ogni host subordinato. La scelta può proteggere un intero albero di domini, ma può anche rendere irraggiungibile un sottodominio di sviluppo, un fornitore o un sistema precedente privo di HTTPS funzionante.
Distribuisca e verifichi il valore in sicurezza
Invii HSTS soltanto tramite HTTPS: i browser lo ignorano se arriva da una connessione non sicura e un semplice reindirizzamento HTTP non stabilisce la politica memorizzata. Nel browser l’esecuzione è locale; ogni richiesta automatizzata all’API costa $0.002.
Domande tecniche
Devo sempre attivare includeSubDomains?
Solo dopo aver confermato che tutti i sottodomini interessati supportino HTTPS affidabile. La direttiva copre l’intero albero.
Quanto costa una richiesta API?
Ogni richiesta API costa $0.002. Lo stesso generatore puro può funzionare localmente nel browser.