如何在 Chrome 和 Firefox 中禁用 HSTS？

您是否在 Chrome 或 Firefox 上遇到令人沮丧的HSTS 错误？不要绝望！本详细指南专为您设计。

我们将引导您了解它是什么、为什么会遇到错误，以及最重要的是，如何在 Chrome 和 Firefox 中禁用 HSTS。

通过我们简洁的步骤和清晰的解释，您可以立即修复此技术错误。让我们开始吧！

什么是 HSTS？

HSTS代表HTTP 严格传输安全，是一种网络安全策略机制，有助于保护网站免受中间人攻击，例如协议降级攻击和 cookie 劫持。HSTS 确保网络浏览器仅通过安全加密的连接与网站通信。它是防止敏感数据被盗的最有效的在线安全措施之一。

HSTS 如何工作？

HSTS 实施涉及配置 Web 服务器以在 HTTP 响应中包含 HSTS 标头。此标头称为“Strict-Transport-Security”，指定浏览器强制执行 HTTPS 的最长时间（以秒为单位），称为“max-age”。

可选地，标头可以包含“includeSubDomains”等指令，将 HSTS 策略扩展到所有子域，以及“preload”，向浏览器发出信号，将域包含在其 HSTS 预加载列表中。在预加载列表中确保即使在初次访问时也能执行 HSTS。

当用户访问启用 HSTS 的网站时，浏览器会识别 HSTS 标头并在内部存储此信息。在指定的“最大期限”期限内的后续访问中，将自动执行此操作。

即使用户尝试通过“http://”访问网站或点击 HTTP 链接，浏览器也会在传输之前将请求无缝转换为 HTTPS。

在整个 HSTS 策略有效期内，浏览器始终对启用 HSTS 的域的所有后续请求使用 HTTPS，而不管通过未加密连接访问网站的任何尝试。

HSTS 示例

以下是 HTTP 严格传输安全标头的几个示例：

基本 HSTS 标头

严格传输安全：max-age=31536000

在此示例中，max-age 指令设置为 31536000 秒（1 年），表示浏览器应在该持续时间内强制执行 HSTS 策略。

包含子域名的 HSTS

严格传输安全：max-age=31536000；includeSubDomains

此示例包含includeSubDomains指令，表示 HSTS 策略应应用于当前域的所有子域。

HSTS 预加载

严格传输安全：max-age=31536000；includeSubDomains；预加载

此示例包含预加载指令，向浏览器发出信号，告知该域名应包含在其 HSTS 预加载列表中。列入预加载列表意味着即使是首次访问该网站，也会强制执行 HSTS。

具有自定义子域名最大使用期限的 HSTS

Strict-Transport-Security：max-age=31536000; max-age=2592000; includeSubDomains

在此示例中，主域的最大年龄为 1 年，而子域的最大年龄较短，为 30 天。

Web 管理员应配置 HSTS 标头以适应其安全需求和域结构。定期测试和监控以获得最佳效果。现在，让我们探讨 HSTS 的一些优点和局限性。

HSTS 优势

正确的 HSTS 配置具有以下主要优势：

1.缓解中间人攻击：HSTS 通过阻止潜在的网络攻击来防止窃听和数据篡改。

2.防止会话劫持：HSTS 通过确保会话 cookie 的安全传输来防止会话漏洞。

3.协议降级预防：它降低了利用不安全通信协议进行攻击的威胁。

4.增强用户隐私：通过安全地传输敏感信息来增强用户隐私，提高对网站的信任。

5.预防 SSL 剥离攻击：确保用户与网站的交互保持加密和安全，最大限度地降低 SSL 剥离攻击成功的风险。

HSTS 限制

与任何技术一样，HSTS 设置也存在一些限制。以下是其中一些限制：

1.依赖于浏览器支持：HSTS 的部署和有效性依赖于浏览器支持，使用不受支持或过时的 IE 浏览器的用户可能无法受益于其安全功能。

2.严格的策略持久性：一旦您实施 HSTS，该策略将在指定的时间内持续存在，因此如果需要快速撤销或修改将非常困难。

3.证书过期的可能性：如果网站的SSL/TLS 证书过期，即使已实施 HSTS，用户在证书更新之前也可能会遇到访问网站的困难。

接下来，让我们将注意力转向 HSTS 错误。但是，在深入研究如何在 Chrome 和 Firefox 中禁用 HSTS 之前，让我们首先了解 HSTS 错误是什么以及它为什么会发生。

HSTS 错误是什么？

当应通过 HTTPS 安全连接加载的网站通过 HTTP（不安全连接）加载时，就会发生 HSTS 错误。因此，Chrome 或 Firefox 等网络浏览器将显示 HSTS 错误，阻止用户访问该网站。该网站的 HSTS 政策指示浏览器仅通过安全连接进行连接，这会触发此错误。

什么原因导致 HSTS 错误？

当用户遇到 HSTS 错误时，浏览器通常会显示警告或错误消息，阻止用户访问网站。排查 HSTS 错误涉及解决导致错误的具体问题，例如更新 SSL 证书、修复混合内容问题或确保服务器时间正确。

常见的 HSTS 错误包括：

1.证书问题：如果网站的SSL/TLS 证书存在问题，例如证书过期或无效，则可能会触发 HSTS 错误。

2.无效的 HSTS 策略：如果网站发送无效或格式不正确的 HSTS 策略，浏览器可能会拒绝连接。

3.混合内容：如果网站包含安全（HTTPS）和非安全（HTTP）内容，则可能会触发 HSTS 错误。

4.时钟差异：HSTS 依赖于客户端（用户计算机）和服务器上的正确系统时间。如果时间差异很大，则会导致 HSTS 错误。

如何在 Chrome 浏览器中禁用 HSTS？

在 Chrome 中禁用 HSTS 涉及一组特定的步骤。HTTP 严格传输安全通过强制安全 https 连接来保护敏感数据。但有时，您可能需要禁用 HSTS，因为“您现在无法访问 domain.com，因为该网站使用 HSTS。”错误或其他 https 问题。

要禁用 HSTS，您需要清除 Chrome 中的 HSTS 设置。

1.在地址栏中输入chrome://net-internals/#hsts以访问 Chrome HSTS 设置。

2.在 HSTS 菜单下找到删除域安全策略部分。在域字段中输入您遇到 HSTS 错误的域名，然后单击删除按钮以删除该网站的 HSTS 设置。

如果错误仍然存在，您可以通过 Windows 操作系统上的注册表编辑器修改本地 HSTS 设置：

1.右键单击“开始”，然后选择“运行”。在“打开：”框中输入regedit，然后选择“确定”。

2.导航到HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome。

3.在窗口右侧，查找HstsEnabled值。如果不存在，请右键单击空白处，选择新建 > DWORD（32 位）值，并将其命名为HstsEnabled来创建它。

4.双击新创建的值，然后在数值数据框中输入0以禁用 HSTS。

请记住，禁用 HSTS 可能会将敏感数据暴露给潜在威胁。因此，仅当 HSTS Chrome 错误中断您的浏览时才使用此方法，并在修复连接问题后启用它。

替代方法：使用 Chrome DevTools：

1.打开 Chrome 并导航到您想要禁用 HSTS 的网站。

2.通过右键单击页面、选择“检查”，然后转到“网络”选项卡来打开 Chrome DevTools。

3.重新加载页面（您可以使用Ctrl+R或Command+R）。

4.查找初始请求（重新加载页面时发出的第一个请求）。它应该是 HTML 文档。

5.在请求的Headers部分，查找Strict-Transport-Security 标头。

6.您可以将 max-age 值修改为 0，或者删除整个标头。这将指示 Chrome 不对指定域强制执行 HSTS。

如何在 Firefox 浏览器中禁用 HSTS？

您可以按照以下步骤在 Firefox 中针对特定站点禁用 HSTS 设置：

1.在地址栏中输入about:config ，然后按 Enter。

2.接受风险并继续。

3.在搜索栏中输入stricttransportsecurity。

4.您应该会看到一个名为network.stricttransportsecurity.preloadlist的条目。双击它以将值切换为false。这将禁用 HSTS。

请记住，清除 HSTS 将删除所有网站的 HSTS 设置，而不仅仅是您遇到问题的那个网站。现在您已完成这些步骤，您需要重新启动 Mozilla Firefox 以使更改生效。

如果重启 Firefox 后没有看到更改，则可能需要清除缓存数据。为此，请转到“编辑菜单”，选择“首选项”，单击“隐私和安全”，然后单击“清除数据”按钮。确保检查“缓存的 Web 内容”并点击“删除”按钮。清除 HSTS 缓存后，再次重启 Firefox。

常问问题

HSTS 还在使用吗？

是的，HSTS 仍然用作网站安全机制，以强制网络浏览器使用 HTTPS 上的安全连接并保护传输中的所有数据。

所有浏览器都支持 HSTS 吗？

是的，大多数现代网络浏览器（包括 Chrome、Firefox、Safari、Edge 等）都支持 HSTS）但是，我们始终建议查看每个浏览器的具体文档以获取最新的信息。

HSTS 是否默认启用？

并非所有网站都默认启用 HSTS。网站管理员必须配置其服务器以在响应中包含 HSTS 标头，指定应强制执行 HSTS 的持续时间。一旦浏览器遇到 HSTS 标头，它就会记得在指定的持续时间内强制执行安全连接。

我需要启用 HSTS 吗？

我们建议实施 HSTS，以确保与服务器的所有通信都通过安全的 HTTPS 连接进行，从而增强安全性。不过，这并不是强制性的，是否启用 HSTS 取决于具体的安全要求和注意事项。

没有 HSTS 的风险是什么？

如果没有 HSTS，则存在中间人攻击的风险，攻击者可能会拦截和操纵不安全的连接。HSTS 通过强制执行 HTTPS 并保护用户免受某些类型的安全威胁来帮助降低这种风险。

我应该清除 HSTS 设置吗？

普通用户通常不需要清除 HSTS 设置。但是，如果您由于隐私错误或 HSTS 信息不正确而无法访问网站，请清除 HSTS 设置并查看是否有帮助。

HSTS 安全吗？

是的，HSTS 是安全的，它通过确保与网站的通信通过安全的 HTTPS 进行来增强网络安全。但是，与任何安全措施一样，您应该正确配置它以避免潜在问题和其他 HTTPS 错误。

使用 HSTS 有什么缺点吗？

如果网站不支持 HTTPS，则当 SSL/TLS 证书出现问题时，HSTS 可能会阻止用户访问网站。每个网站都应启用 HTTPS 并遵守标准 SEO 和安全实践。

结论

了解步骤后，禁用 Chrome 和 Firefox 中的 HSTS 设置非常简单。不要让 HSTS 错误影响您的浏览。只需进行一些调整，您就可以控制 HSTS 设置并解决潜在问题。

现在您知道如何在 Chrome 和 Firefox 中禁用 HSTS，您应该能够更有效地识别和解决浏览器错误。但是，请记住，关闭安全功能只能作为最后的手段。