STS (Strick-Transport-Security) 란?

STS 약자는 Spring Tool Suite 만 있는 줄 알았는데 다른 개념으로 STS 가 있었습니다.

원래 Http Strick Transport Security 의 약자로 HSTS 로 사용하지만 H를 뺀 STS 라고도 불립니다.

HSTS (Http Strick Transport Security)  란?

일반적으로 HTTP 를 HTTPS 로 강제로 변경할 때 사용합니다.

서버 측에서 302 Redirect 를 이용하여 전환 시켜줄 수 있습니다.

즉, 클라이언트 (브라우저) 에게 HTTPS 를 강제로 하도록 권장하는 것을 의미합니다.

클라이언트에서 강제로 변경하기 때문에 Plain Text 를 이용한 연결 자체가 최초부터 시도되지 않으면 클라이언트 측에서 차단된다는 장점이 있습니다.

HSTS (Http Strick Transport Security)  사용법

Apache 설정 추가 또는 통신 하는 Header에 다음과 같은 옵션을 추가하여 사용합니다..

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"

옵션 설명

max-age	HSTS가 브라우저에 설정된 시간이며 초 단위로 설정합니다. (63072000 : 2년)
includeSubdomains	HSTS가 적용될 도메인의 subdomain 까지 HSTS 를 확장 적용함을 의미합니다.
preload	HSTS 적용이 클라이언트 측에서 먼저 로드됨을 의미합니다.

 

참고 자료 

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security

Strict-Transport-Security - HTTP | MDN