O que é HSTS e por que protege as conexões HTTPS?

Publicado em 2026-10-26 por frfrand

HSTS explicado: como obriga o navegador a usar HTTPS, riscos de configuração e quando vale a pena ativar o preload.

HSTS (HTTP Strict Transport Security) é uma política que indica ao navegador que ele deve se conectar a um domínio via HTTPS durante um período definido. Serve para reduzir o risco de alguém forçar uma conexão HTTP insegura depois que o navegador recebeu a política.

Uma forma simples de entender

Imagine que você visita um banco e um funcionário lembra que você só deve entrar por uma porta vigiada. Quando você retornar, seu navegador aplica essa regra sem esperar que o servidor redirecione você novamente. O HSTS armazena uma preferência de segurança para o domínio; não cria o certificado nem substitui o TLS.

Como funciona na prática?

O servidor HTTPS envia um cabeçalho como Strict-Transport-Security: max-age=31536000. O navegador compatível lembra da política durante esse período. Opcionalmente, pode incluir includeSubDomains e existe um mecanismo de listas pré-carregadas ou preload. São decisões distintas com consequências reais: afetar subdomínios ou entrar em uma lista pré-carregada requer planejamento.

O que não resolve e seus limites

Uma conexão HTTP inicial, antes de conhecer a política, pode apresentar certos riscos; o preload busca reduzir esse problema para domínios incluídos. O HSTS não impede que o usuário entregue dados a um domínio falso com HTTPS nem corrige um aplicativo vulnerável. Se o seu certificado expirar ou um subdomínio não suportar HTTPS, uma política muito agressiva pode impedir o acesso. Não ative includeSubDomains sem inventariar todos os aplicativos.

Como aplicá-lo e verificá-lo sem surpresas

Verifique primeiro se o domínio e os subdomínios afetados funcionam corretamente com HTTPS. Confirme se os redirecionamentos e certificados estão vigentes; aplique inicialmente uma duração menor se precisar avaliar o comportamento antes de ampliá-la. Lembre-se de que remover o cabeçalho no servidor não apaga imediatamente políticas já armazenadas nos navegadores.

Como aparece no ArduMaker?

Em um aplicativo hospedado em um VPS do ArduMaker, você pode configurar este cabeçalho via Nginx ou o servidor web correspondente, desde que o HTTPS esteja corretamente operacional. É uma medida complementar, não um substituto para gerenciar certificados.

Um exemplo de configuração responsável

Antes de habilitar o HSTS em um domínio que contém vários subdomínios, faça um inventário de serviços antigos, ferramentas de administração e servidores de testes. É possível que um subaplicativo ainda não tenha certificados válidos. Verifique se todos os caminhos críticos funcionam por HTTPS a partir de um navegador limpo. Se você pretende solicitar o preload, leia as condições oficiais: reverter uma inclusão pode ser lento. Registre quem alterou a política e como ela será verificada durante as renovações de certificados.

O que observar quando algo falhar?

Se um visitante não conseguir abrir um site devido a um erro de certificado, investigue o nome do domínio, a cadeia de certificados e a data de expiração. Não peça para desativar avisos para entrar. Esse atalho oculta o problema e pode reduzir a segurança.

Para lembrar

HSTS (HTTP Strict Transport Security) é uma política que indica ao navegador que ele deve se conectar a um domínio por HTTPS durante um período definido. Entender quando se aplica, como falha e quais dados revisar é mais útil do que memorizar comandos soltos.

Para ampliar: MDN: Strict-Transport-Security.