HSTS प्रीलोड चेकर

HSTS प्रीलोड क्या है और डोमेन को इसके लिए क्या चाहिए?

HSTS (RFC 6797) एक रिस्पॉन्स हेडर है जो पहली सुरक्षित विज़िट के बाद max-age सेकंड तक ब्राउज़र से उस होस्ट के लिए HTTPS इस्तेमाल करवाता है; प्रीलोड सूची — जो Chromium में बनी आती है और जिससे दूसरे ब्राउज़र अपनी सूचियाँ बनाते हैं — यह सुरक्षा पहली विज़िट तक ले जाती है। स्वीकार होने के लिए डोमेन को मान्य सर्टिफ़िकेट देना, उसी होस्ट पर HTTP को HTTPS पर रीडायरेक्ट करना, हर सबडोमेन HTTPS पर चलाना, और कम से कम 31536000 के max-age, includeSubDomains और preload वाला हेडर भेजना होता है।

सुरक्षा नोट: प्रीलोड जल्दी वापस नहीं लिया जा सकता: हटाना विज़िटर तक तभी पहुँचता है जब उनके ब्राउज़र अपडेट हों। सबमिट से पहले हर सबडोमेन — अंदरूनी टूल और बाद में बनने वाले भी — HTTPS पर चलना चाहिए।

HSTS प्रीलोड चेकर कैसे इस्तेमाल करें

1. डोमेन डालें (example.com); पूरा URL या www. वाला नाम डोमेन में बदल दिया जाता है।
2. "HSTS जाँचें" दबाएँ, प्रीलोड स्थिति पढ़ें, फिर छह शर्तें।
3. जो "पूरा नहीं" है उसे ठीक करें — पहले HTTPS और रीडायरेक्ट — और अगर hstspreload.org की अपनी रुकावटें दिखें तो उन्हें पढ़ें।
4. डिप्लॉय से पहले हेडर जाँचने के लिए उसकी वैल्यू दूसरे फ़ील्ड में पेस्ट करें; कुछ भी नहीं भेजा जाता।

HSTS प्रीलोड चेकर की खूबियाँ

• डोमेन को hstspreload.org पर प्रकाशित शर्तों से जाँचता है: मान्य सर्टिफ़िकेट के साथ HTTPS, उसी होस्ट पर HTTP से HTTPS रीडायरेक्ट, और कम से कम एक साल के max-age, includeSubDomains और preload वाला Strict-Transport-Security हेडर
• hstspreload.org से डोमेन की मौजूदा स्थिति पूछता है — सूची में, शामिल होने की प्रतीक्षा में, हटाया गया, ठुकराया गया या सूची में नहीं — और उसके crawler की बताई रुकावटें भी
• दिखाता है कि Mutqan सर्वर ने असल में क्या देखा: https:// और http:// जवाबों का स्टेटस, रीडायरेक्ट का लक्ष्य और हेडर जैसा है वैसा
• "पूरा नहीं" और "जाँचा नहीं जा सका" को अलग रखता है: टाइम-आउट या रोकी गई रिक्वेस्ट साइट के बारे में कुछ नहीं बताती, इसलिए उसे साइट की नाकामी नहीं गिना जाता
• पेस्ट की गई Strict-Transport-Security वैल्यू आपके ब्राउज़र में जाँचता है: directives, सेकंड और दिनों में max-age, दोहराए, बिगड़े या अनजान directives
• ठीक करने का क्रम बताता है, और सबमिट से पहले चेताता है कि प्रीलोड वापस लेना धीमा है

इनपुट और आउटपुट

इनपुट

• डोमेन — example.com जैसा रजिस्टर होने लायक़ डोमेन; URL या www. प्रीफ़िक्स डोमेन में बदल दिया जाता है। एक हिस्से वाले नाम, IP एड्रेस और प्राइवेट नाम ठुकराए जाते हैं।
• पेस्ट किया हेडर — Strict-Transport-Security की वैल्यू, हेडर के नाम के साथ या बिना; यह आपके ब्राउज़र में जाँची जाती है और डोमेन फ़ील्ड अनदेखा होता है।

आउटपुट

• सारांश — प्रीलोड स्थिति, छह में से कितनी शर्तें पूरी हैं और कितनी जाँची नहीं जा सकीं, दिनों में max-age, और डोमेन सबमिट के लिए तैयार दिखता है या नहीं।
• प्रीलोड की शर्तें — हर शर्त "पूरा", "पूरा नहीं" या "जाँचा नहीं जा सका" और देखी गई वैल्यू के साथ।
• प्रीलोड सूची और hstspreload.org की रुकावटें — सूची का अपना स्थिति-शब्द, जिस डोमेन के ज़रिए प्रीलोड हुआ, कब पूछा गया, और उस सेवा के अपने शब्दों में रुकावटें और चेतावनियाँ।
• Mutqan सर्वर ने क्या देखा, हेडर directives और हेडर की समस्याएँ — दोनों जवाब, हेडर जैसा है वैसा और उसमें कोई व्याकरण की गलती।

HSTS प्रीलोड चेकर का उदाहरण

example.org

प्रीलोड स्थिति: सूची में नहीं · पूरी शर्तें 5/6 · max-age (दिन) 365 · सबमिट के लिए तैयार: नहीं
मान्य सर्टिफ़िकेट के साथ HTTPS — पूरा — HTTP 200
उसी होस्ट पर HTTP से HTTPS रीडायरेक्ट — पूरा — HTTP 301 → https://example.org/
Strict-Transport-Security हेडर — पूरा — max-age=31536000; includeSubDomains
कम से कम एक साल का max-age — पूरा — 31536000 s (365 d)
includeSubDomains निर्देश — पूरा — मौजूद
preload निर्देश — पूरा नहीं — मौजूद नहीं
hstspreload.org की रुकावटें: रुकावट · header.preloadable.preload.missing · No preload directive

HSTS प्रीलोड चेकर के नतीजे कैसे पढ़ें

"Preload सूची में" का मतलब है कि ब्राउज़र डोमेन को अपनी बिल्ट-इन सूची में रखते हैं और पहली विज़िट से ही उसके और उसके हर सबडोमेन के लिए HTTPS इस्तेमाल करते हैं। "शामिल होने की प्रतीक्षा में" का मतलब है कि वह स्वीकार हो चुका है और ब्राउज़र रिलीज़ का इंतज़ार है।

"सबमिट के लिए तैयार: हाँ" के लिए छहों शर्तें पूरी होनी चाहिए और hstspreload.org से कोई रुकावट नहीं आनी चाहिए; उसका crawler www जैसे सबडोमेन और रीडायरेक्ट चेन भी देखता है — फ़ैसला उसी का है। अगर hstspreload.org से पूछा नहीं जा सका, या कोई शर्त जाँची नहीं जा सकी, तो जवाब "हाँ" या "नहीं" की जगह "अज्ञात" होता है; "पहले ही सबमिट (प्रतीक्षा में)" का मतलब है कि डोमेन शामिल होने का इंतज़ार कर रहा है।

"जाँचा नहीं जा सका" साइट की नाकामी नहीं है: Mutqan सर्वर वह रिक्वेस्ट पूरी नहीं कर पाया (टाइम-आउट, या ऐसा एड्रेस जिससे जुड़ने की अनुमति नहीं)। अगर HTTPS पर कोई जवाब आया ही नहीं, तो हेडर की चारों शर्तें भी "जाँचा नहीं जा सका" होती हैं, क्योंकि हेडर देखा ही नहीं गया। दोबारा जाँचें या अपने नेटवर्क से पुष्टि करें।

31536000 सेकंड (365 दिन) से कम का max-age लौटने वाले विज़िटर को उतने समय तक बचाता है, पर प्रीलोड सूची उसे स्वीकार नहीं करती; max-age=0 ब्राउज़र से नीति भूल जाने को कहता है।

HSTS प्रीलोड चेकर कब इस्तेमाल करें

• डोमेन को HSTS प्रीलोड सूची में जमा करने की तैयारी करना और ठीक-ठीक देखना कि कौन-सी शर्त अधूरी है।
• जाँचना कि नया HTTPS डिप्लॉयमेंट मुख्य डोमेन पर Strict-Transport-Security भेजता है और HTTP को सही रीडायरेक्ट करता है।
• HTTPS सेटअप बदलने से पहले पता करना कि डोमेन पहले से प्रीलोड, प्रतीक्षा में या हटाया गया है।
• प्रोडक्शन तक पहुँचने से पहले pull request में हेडर की वैल्यू जाँचना।

समस्या निवारण

• साइट आख़िर में HTTPS पर पहुँचती है, फिर भी रीडायरेक्ट "पूरा नहीं": http:// से पहला हॉप उसी होस्ट के https:// पर जाना चाहिए। सीधे https://www. (दूसरा होस्ट) पर रीडायरेक्ट मान्य नहीं; पहले https://example.com/ पर रीडायरेक्ट करें।
• सर्वर हेडर भेजता है, फिर भी हेडर "पूरा नहीं": वह मुख्य डोमेन के HTTPS जवाब में ही होना चाहिए, सिर्फ़ www या अंदर के पेजों पर नहीं, और सादे HTTP जवाब में ब्राउज़र उसे अनदेखा करते हैं।
• ऐसा इनकार जो कहे कि डोमेन "has no A or AAAA record" या "resolves to an address the Mutqan server may not connect to": नाम सार्वजनिक रूप से resolve नहीं होता या प्राइवेट एड्रेस पर जाता है। सिर्फ़ सार्वजनिक डोमेन जाँचे जा सकते हैं और वही प्रीलोड हो सकते हैं।
• प्रीलोड स्थिति "अज्ञात — hstspreload.org तक नहीं पहुँचा जा सका": सूची की सेवा ने जवाब नहीं दिया, पर शर्तों की पंक्तियाँ Mutqan सर्वर की अपनी रिक्वेस्ट से ही हैं। थोड़ी देर बाद फिर कोशिश करें।

HSTS प्रीलोड चेकर के बारे में अक्सर पूछे जाने वाले सवाल

तकनीकी नोट्स

HSTS को RFC 6797 परिभाषित करता है: HTTPS पर मान्य Strict-Transport-Security हेडर मिलने के बाद ब्राउज़र max-age सेकंड तक उस होस्ट की हर http:// रिक्वेस्ट को https:// में बदल देता है और विज़िटर को सर्टिफ़िकेट की गलतियाँ नज़रअंदाज़ करके आगे नहीं जाने देता; includeSubDomains इसे हर सबडोमेन तक बढ़ाता है।

RFC 6797 §6.1 का हेडर व्याकरण लागू होता है: directives सेमीकोलन से अलग होते हैं, नाम case-insensitive हैं, max-age ज़रूरी है और सेकंड की पूर्ण संख्या होनी चाहिए (उद्धरण चिह्न चलते हैं), कोई directive दो बार नहीं आ सकता, और अनजान directives अनदेखे होते हैं। preload RFC का हिस्सा नहीं, बल्कि वह token है जो प्रीलोड सूची माँगती है।

प्रीलोड सूची Chromium में बनी आती है, और Firefox, Safari व Edge इसी पर आधारित अपनी सूचियाँ रखते हैं। जमा करने के नियम (hstspreload.org): मान्य सर्टिफ़िकेट; अगर पोर्ट 80 जवाब देता है तो किसी और रीडायरेक्ट से पहले उसी होस्ट पर HTTP से HTTPS रीडायरेक्ट; हर सबडोमेन HTTPS पर; और डोमेन के HTTPS जवाब में कम से कम 31536000 के max-age, includeSubDomains और preload वाला हेडर।

Mutqan सर्वर मुख्य डोमेन पर दो रिक्वेस्ट भेजता है, https:// और http://, बिना रीडायरेक्ट फ़ॉलो किए और बिना बॉडी पढ़े, और hstspreload.org API को दो कॉल (status और preloadable) करता है जिनका जवाब 24 घंटे तक रखा जाता है। पोर्ट 80 पर ठुकराया गया कनेक्शन "कोई सर्विस नहीं" माना जाता है, जिसे सूची मानती है; टाइम-आउट "जाँचा नहीं जा सका" माना जाता है।

सीमाएँ और कार्यप्रणाली

सिर्फ़ मुख्य डोमेन (https://domain/ और http://domain/) Cloudflare नेटवर्क पर चल रहे Mutqan सर्वर से माँगा जाता है। सबडोमेन यहाँ नहीं जाँचे जाते; उन्हें hstspreload.org का crawler जाँचता है, और उसकी रुकावटें वैसे ही दिखाई जाती हैं जैसे वह बताता है।

hstspreload.org के जवाब 24 घंटे तक रखे जाते हैं, इसलिए कुछ मिनट पहले किया बदलाव सूची की स्थिति में अगले दिन दिख सकता है; शर्तों की पंक्तियाँ हमेशा लाइव रिक्वेस्ट से आती हैं।

ब्राउज़र सूची अपनी रिलीज़ के साथ लेते हैं: आज स्वीकार हुआ डोमेन हफ़्तों या महीनों बाद यूज़र तक पहुँचता है, और हटाने में भी उतना ही समय लगता है।

सुरक्षा और गोपनीयता

डोमेन Mutqan सर्वर को भेजा जाता है, जो उस पर दो रिक्वेस्ट भेजता है और hstspreload.org से उसके बारे में पूछता है; कुछ भी सेव नहीं होता। पेस्ट किया हेडर आपके ब्राउज़र में जाँचा जाता है और कभी भेजा नहीं जाता।

संदर्भ

• RFC 6797: HTTP Strict Transport Security (HSTS)IETF · 2012Strict-Transport-Security हेडर जो ब्राउज़र को किसी होस्ट के लिए केवल HTTPS इस्तेमाल करने को कहता है।
• HSTS Preload List SubmissionThe Chromium Projects (hstspreload.org)HSTS प्रीलोड सूची की आधिकारिक सबमिशन साइट: डोमेन को किन शर्तों को पूरा करना है, स्थिति की जाँच और हटाने की प्रक्रिया।
• Strict-Transport-Security header — MDNMDN Web Docs (Mozilla)हेडर के directives, ब्राउज़र उन्हें कैसे लागू करते हैं, और प्रीलोड का हेडर से क्या संबंध है।