Anfrage Safari Web-Client zu ignorieren HSTS

Question

Ich habe eine Website übernommen, die zuvor HSTS verwendet, aber wegen einiger iframes, die ich einbetten muss, muss ich es deaktivieren. Ich kann intelligent von einem Protokoll zum anderen umleiten, aber insbesondere Safari möchte seinen HSTS-Cache nicht ignorieren.

In dieser Frage (Is it possible to ask your users to clear their HTTP Strict Transport Security (HSTS) for your site?) und auf anderen Seiten, die ich gesehen habe, dass ich Browser anfordern kann meine Seite von ihrem HSTS Cache zu entfernen, indem das Senden der folgenden Header:

Strict-Transport-Security: max-age=0 

jedoch doesn Safari‘ Das scheint mir egal zu sein. Auf dem Computer eines Mitarbeiters, der die Site in seinem HSTS-Cache hat, verhindert das Empfangen dieser Header nicht, dass es automatisch zu https umleitet.

Wer weiß eine Möglichkeit, Safari zu sagen, HSTS zu ignorieren?

Answer 1

Es könnte auf der Top-Level-Domain eingestellt werden.

Wenn Sie sich also www.example.com ansehen, wurde die Richtlinie möglicherweise von example.com mit der Option includeSubDomains veröffentlicht, so dass sie alle Subdomains (einschließlich www-Subdomain) betrifft.

Wenn ja, ist die Antwort ähnlich. Veröffentlichen Sie diesen Header aus der Basisdomäne und stellen Sie sicher, dass Sie die Basisdomäne besuchen (auch wenn sie nur zur Hauptdomäne weitergeleitet wird).

Strict-Transport-Security: max-age=0; includeSubDomains 

Überprüfen Sie auch die Preload-Listen für die Basisdomäne.

Wäre es auch wert, durch Web-Konfiguration und alle Skripte oder dynamische Teile der Website (z. B. PHP, Java Servlets usw.) zu suchen, um sicherzustellen, dass etwas noch nicht setzt, wenn Sie zum Beispiel eine bestimmte Seite besuchen .