Почему это риск
SSL-stripping — атака, при которой злоумышленник в одной сети (кафе, аэропорт) перехватывает HTTP-запрос до редиректа на HTTPS и начинает работать как прозрачный прокси. Пользователь думает, что на сайте, а злоумышленник видит весь трафик. HSTS предотвращает это: браузер отказывается делать HTTP-запрос вообще.
Как исправить
Nginx: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
Apache: Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
Убедитесь, что HSTS добавляется только для HTTPS (не для HTTP-блока в nginx)
Начните с max-age=300 для тестирования, затем увеличьте до 31536000
Для includeSubDomains убедитесь, что ВСЕ субдомены работают по HTTPS
Для preload-статуса подайте домен на hstspreload.org
Как AuditGuard обнаруживает проблему
AuditGuard проверяет наличие заголовка Strict-Transport-Security в HTTPS-ответе, проверяет значение max-age, наличие includeSubDomains и preload.