Estoy pensando en usar HSTS en mis sitios, pero no entiendo si necesito sincronizar la sincronización de HSTS con la hora en que se renovará o no el certificado.
¿Puedo usar de forma segura un tiempo estático para HSTS? Me gustaría enviar siempre el mismo tiempo en HSTS y no tener ningún problema cuando renuevo el certificado SSL.
Estoy preocupado por el bloqueo del acceso a mi sitio debido a que no uso HSTS correctamente.
HSTS solo obliga a un sitio a usar HTTPS. Esto evita que los ataques de degradación como SSLstrip sean efectivos. Como HSTS no dice nada sobre el certificado que se utilizará, no tiene ningún efecto cuando renueva su certificado. (Tenga en cuenta que el certificado aún deberá pasar todas las comprobaciones de validez estándar).
Fijación de clave pública HTTP , una tecnología relacionada, se usa para forzar a un navegador a permitir solo que se visite un sitio con un certificado utilizando una clave pública específica. Tenga en cuenta que esto es diferente a especificar un certificado completo. Incluso cuando se utiliza HPKP, se puede instalar un nuevo certificado en el servidor, siempre que utilice el mismo par de claves públicas y privadas.