HSTS se guarda en cada navegador web.
Cuando se realiza una solicitud a un dominio que implementa HSTS, los encabezados de respuesta contendrán un encabezado Strict-Transport-Security que indica la antigüedad máxima del registro y, opcionalmente, algunos otros valores relacionados con HSTS.
Esta edad máxima da un tiempo de vida efectivo desde el momento en que se recibe la respuesta.
Esto se ilustra, aunque no se explica explícitamente, en RFC 6797 sección 11.2 (no normativo ), que establece:
El enfoque del "valor constante en el futuro" se puede lograr mediante
enviando constantemente el mismo valor de edad máxima a los UA.
y
El enfoque de "punto fijo en el tiempo" se puede lograr enviando
Valores máximos de edad que representan el tiempo restante hasta el deseado.
tiempo de expiración. Esto requeriría que el Anfitrión HSTS envíe un nuevo
valor de edad máxima calculada en cada respuesta HTTP.
Entonces, si un dominio ha utilizado HSTS en el pasado, entonces, en una situación en la que no se haya cambiado previamente la duración máxima de HSTS, la hora más temprana en la que no se puede esperar que ningún cliente confíe en datos HSTS antiguos es la hora de última solicitud que devolvió datos HSTS, más el tiempo que se indicó en esos datos HSTS en ese momento. Si el HSTS max-age se ha reducido, estos períodos de tiempo forman ventanas deslizantes; lo que termina en último lugar es el momento más temprano en el que no se puede esperar que ningún cliente se base en datos HSTS antiguos. Esto es una consecuencia de uno de los requisitos en sección 8.1.1 (normativo):
Un host HSTS conocido está "caducado" si su entrada de caché tiene una fecha de caducidad
en el pasado. La UA DEBE expulsar a todos los Hosts HSTS conocidos caducados de su
caché si, en cualquier momento, existe un Host HSTS conocido vencido en el
caché.
En cualquier solicitud, si la respuesta se recibe a través de un transporte seguro e incluye datos HSTS, entonces, como se indica en la sección 8.1, el cliente UA debe actualizar su lista de hosts HSTS conocidos (normativo):
Si /.../ la UA DEBE [bien]: /.../
-
Actualice la información en caché de la UA para el host HSTS conocido si
cualquiera o ambos del campo de encabezado max-age e includeSubDomains
tokens de valor están transmitiendo información diferente a la que ya está
Mantenido por la UA.
El valor de la edad máxima es esencialmente un valor relativo del "tiempo de vida"
a la hora de recepción del campo de encabezado STS.
Como consecuencia, activar HSTS es efectivamente una promesa de seguir ofreciendo HTTPS válidos por no menos que la duración del parámetro HSTS de edad máxima, contando desde el momento de la respuesta.
Como consecuencia adicional, no hay una fecha y hora de "caducidad" fijas para los datos HSTS a menos que el servidor utilice el enfoque de "punto fijo en el tiempo" descrito non-normatively en el RFC.