Aprobado por la IETF a finales de 2012 y diseñado para garantizar las conexiones seguras mediante HTTPS, el protocolo HSTS o Http Strict Transport Security es un mecanismo soportado por los principales servidores web –Apache, NGNIX- y la mayoría de navegadores (incluso Internet Explorer desde febrero), que reduce las posibilidades de que un atacante pueda interceptar nuestras comunicaciones y recopilar cookies y datos similares intercambiados durante la sesión.

El estándar permite que el servidor y el navegador web o “User Agent”, interactúen de manera más fiable, empleando protocolos de transporte como TSL/SSL. Así, es capaz de acabar con variados ataques de red y también con algunos errores cometidos por los desarrolladores de los distintos sites (por ejemplo, el uso de conexiones no seguras para descargar recursos de la web). Pero ¿cómo funciona exactamente? ¿En qué consiste el seguimiento HSTS?

Cómo funciona HSTS

De esta manera y al margen de determinar cómo deben actuar el broswer y el servidor, HSTS incorpora un encabezado de estricta seguridad de transporte (Strict-Transport-Security), que informa a este primero de que sus conexiones tienen que utilizar HTTPS.

A partir de ese momento, el explorador sabrá que todas las peticiones a este dominio y subdominio, deben seguir este protocolo. Las cabeceras HSTS, asimismo, quedarán almacenadas en el navegador (en forma de lista), algo que se aplicará durante un tiempo determinado. ¿El resultado? Que cualquier fallo o advertencia de seguridad abortará la conexión (entre otros).

Seguimiento HSTS

Sin embargo, y paradójicamente …