RFC 6797 a défini HTTP Strict Transport Security en novembre 2012. Il s’agit d’un standard établi, pas d’une nouvelle obligation annoncée en octobre. HSTS indique au navigateur d’utiliser HTTPS pour les futures connexions. Une redirection HTTP ordinaire exige d’abord une requête qui peut encore circuler sans chiffrement.

MDN décrit la limite du premier accès : sans politique connue, le navigateur peut commencer en HTTP. Une politique HSTS mémorisée transforme les requêtes suivantes avant la connexion. Le préchargement peut couvrir cette lacune initiale, mais ajouter un en-tête ne signifie pas figurer dans les listes de préchargement des navigateurs.

Pour choisir un hébergeur, demandez qui entretient les certificats, où l’en-tête est servi et quels sous-domaines sont concernés. includeSubDomains étend la règle aux sous-domaines. Inventoriez leurs services avant activation : un ancien sous-domaine sans HTTPS fonctionnel peut devenir inaccessible aux navigateurs appliquant cette règle.

Exigez un déploiement HTTPS documenté et un processus de renouvellement des certificats, pas une simple case HSTS. Cette politique ne certifie pas l’honnêteté d’une boutique et ne supprime pas les failles applicatives. YNIX n’a pas audité d’hébergeur ici et ne modifie aucun domaine.