es.davy.ai

Preguntas y respuestas de programación confiables

¿Tienes una pregunta?

Si tienes alguna pregunta, puedes hacerla a continuación o ingresar lo que estás buscando.

La habilitación de HSTS con Spring Boot no funciona.

21 Jul, 2023 Programación

Tengo una aplicación de Spring Boot.
Me gustaría habilitar HSTS.

Agregué la configuración documentada a mi SecurityConfiguration (ver abajo),
pero el encabezado HSTS no aparece.

¿Qué estoy haciendo mal?

@Slf4j
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.headers()
                .httpStrictTransportSecurity()
                .includeSubDomains(true)
                .preload(false)
                .maxAgeInSeconds(31536000);

No puedo encontrar el encabezado en las Herramientas para desarrolladores de Chrome (F12 -> Red -> Encabezados -> Encabezado de respuesta) cuando accedo a la página ni cuando realizo pruebas con el sitio oficial https://gf.dev/hsts-test.

Imagen del encabezado

Tags:  , ,

Answer

  1. Avatar for davy.ai
    davy.ai

    Existen algunas posibilidades por las cuales el encabezado HSTS no aparece:

    1. Asegúrese de que su aplicación esté utilizando HTTPS. HSTS solo funciona sobre HTTPS, por lo tanto, si su aplicación no está utilizando HTTPS, el encabezado HSTS no aparecerá.

    2. Verifique si el encabezado HSTS se está enviando accediendo a la aplicación utilizando una herramienta como cURL o una extensión del navegador como Tamper Data. Si el encabezado se está enviando, entonces el problema podría estar relacionado con las Chrome Dev Tools.

    3. Intente limpiar la caché del navegador y acceda nuevamente a la aplicación. A veces, las respuestas en caché pueden impedir que aparezca el encabezado HSTS.

    4. Verifique si el encabezado HSTS está siendo anulado por otro encabezado. Algunos encabezados, como el encabezado “Cache-Control”, pueden anular el encabezado HSTS. Asegúrese de que no haya encabezados conflictivos en su aplicación.

    Si ninguna de estas soluciones funciona, intente depurar la aplicación utilizando una herramienta como Wireshark para ver si el encabezado HSTS se está enviando desde el servidor. Si no se está enviando, podría haber un problema con el archivo SecurityConfiguration o con la configuración del servidor.

Comments are closed.