HTTP Strict Transport Security (HSTS).

HSTS, défini par le RFC 6797, est signalé par l'en-tête de réponse Strict-Transport-Security. Lorsqu'un navigateur compatible reçoit cet en-tête en HTTPS, il mémorise la politique pendant le max-age déclaré et met automatiquement à niveau toute requête future vers cet hôte (et, en option, ses sous-domaines) vers HTTPS, refusant la connexion si le handshake TLS ou la validation du certificat échoue. Cela neutralise les attaques SSL stripping (le sslstrip de Moxie Marlinspike en 2009) et l'injection de cookies en clair.

HSTS a une faiblesse structurelle : la confiance à la première utilisation (trust-on-first-use). Avant que le navigateur n'ait vu l'en-tête pour la première fois, cette toute première requête peut encore être interceptée et rétrogradée. La liste de préchargement — un ensemble codé en dur dans Chromium, Firefox, Safari et Edge — comble cette lacune en livrant la politique avec le navigateur, forçant HTTPS dès la première visite. La soumission exige un max-age d'au moins 31536000 (un an), includeSubDomains et la directive preload, via hstspreload.org. Google Registry a préchargé des gTLD entiers comme .dev et .app, si bien que tout domaine sous ces extensions est HTTPS uniquement par défaut. Attention : le retrait de la liste de préchargement se propage lentement, ne préchargez donc que si vous pouvez vous engager durablement sur le tout-HTTPS.

flowchart TD
  A[Navigateur : premiere visite] -->|pas encore de politique| B{Sur la liste preload ?}
  B -->|oui| C[Forcer HTTPS immediatement]
  B -->|non| D[Requete en clair possible - risque TOFU]
  D --> E[Le serveur envoie l'en-tete Strict-Transport-Security]
  E --> F[Le navigateur met la politique en cache pour max-age]
  F --> G[Toutes les requetes futures sont mises a niveau en HTTPS]
  G -->|certificat invalide| H[Echec strict, aucune exception possible]