En este momento, los enlaces de confirmación de correo electrónico de mi sitio django no se pueden hacer clic durante unos 60 segundos. Sin embargo, si los abro con el botón derecho, se abren en una nueva ventana de incógnito, funcionan.
Tengo la siguiente configuración, por lo que los 60 segundos tienen sentido.
SECURE_HSTS_SECONDS = 60
Esto, al menos desde mi entendimiento, se debe a esta configuración en mi configuración de producción.py
SECURE_HSTS_INCLUDE_SUBDOMAINS = env.bool(
'DJANGO_SECURE_HSTS_INCLUDE_SUBDOMAINS', default=True)
Cuando elimino la configuración de subdominios de inclusión, puedo hacer clic en mis enlaces y todo está bien. Quiero que los usuarios puedan registrarse, pero tampoco quiero comprometer la seguridad.
El enlace de confirmación de mi correo electrónico también se envía como http, a diferencia de https. Estoy intentando que el enlace se genere como https, pero no he tenido éxito. ¿Qué tan grande es el riesgo de enviar las confirmaciones por correo electrónico como http plantean?
Actualmente estoy usando mailgun para manejar mis correos electrónicos y no son compatibles con HSTS. Así que estoy tratando de averiguar qué tan necesario es el HSTS, y si simplemente no debería preocuparme por ello, o buscar otro servicio / solución.
Aquí está otra publicación que hice en StackOverflow tratando de resolver todo esto si desea más detalles.
Gracias de antemano. Estuve atrapado en esto por semanas.