Este guia explica como desativar ou configurar o HSTS para um site.

Introdução

• Quando o HSTS é ativado para um site, o servidor indica ao visitante do site (se o navegador dele, como Brave, Chrome, Edge, Firefox, Opera, Safari… for compatível) para substituir todos os links não seguros por links seguros.
• Exemplo: http://www.domain.xyz.com/one/page/ é automaticamente substituído por https://www.domain.xyz/one/page/.
• Após ativar um certificado SSL em um site, o HSTS é configurado da seguinte forma: max-age=16000000.

Desativar HSTS…

… com um CMS (WordPress, Joomla, etc.)

Inclua em todas as páginas geradas pelo CMS a seguinte linha:

header( 'Strict-Transport-Security: max-age=0;' );

Para o WordPress, por exemplo, é possível adicionar esta diretiva no ficheiro functions.php do seu tema:

add_action( 'send_headers', 'add_header_xua' );
function add_header_xua() {
header( 'Strict-Transport-Security: max-age=0;' );
}

Mais detalhes sobre o WordPress

… com um site PHP

Inclua a seguinte linha em todas as páginas PHP:

header( 'Strict-Transport-Security: max-age=0;' );

Para fazer isso sem ter que modificar cada página PHP de um site, é possível usar a diretiva auto_prepend_file no arquivo .user.ini do site em questão:

auto_prepend_file=/home/clients/xxxx/web/hsts_disable.php

... com o seguinte arquivo hsts_disable.php:

header( 'Strict-Transport-Security: max-age=0;' );

… com um site de conteúdo estático (sem PHP)

Inclua este cabeçalho em um arquivo .htaccess:

# BEGIN DISABLE HSTS
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=0; includeSubDomains;"
</IfModule>
# END DISABLE HSTS

Personalizar o HSTS

header( 'Strict-Transport-Security: max-age=X; includeSubdomains; preload' );

includeSubDomains; está ativado por padrão e, como o nome sugere, inclui os subdomínios no “Strict Transport Security”.

Quando um visitante acessa um subdomínio não seguro, o navegador redireciona automaticamente para o HTTPS e causa um erro de segurança.

Se este comportamento não for desejado, é necessário remover este cabeçalho.

Limpar o cache HSTS do navegador…

… no Chrome

1. No Chrome, digite chrome://net-internals/#hsts.
2. Insira o nome de domínio no campo de texto da seção "Excluir políticas de segurança do domínio".
3. Clique no botão Excluir.
4. Insira o nome de domínio no campo de texto da seção "Consulta HSTS".
5. Clique no botão "Consulta".
6. A resposta deve ser "Não encontrado".

… no Safari

1. Com o Safari, comece por fechar o navegador.
2. Apague o ficheiro ~/Library/Cookies/HSTS.plist.
3. Reabra o Safari.

… no Firefox

1. Com o Firefox, feche todas as abas.
2. Abra o menu do Firefox e clique em Histórico / Mostrar histórico.
3. Procure a página da qual deseja remover as preferências HSTS.
4. Clique com o botão direito do mouse em uma das entradas correspondentes.
5. Escolha Ignorar este site.