不带 HSTS 的 Apache2 HPKP

Question

有没有办法在没有 HTTP 严格传输安全的情况下使用公钥固定？两种协议（http 和 https）都是通过各自的 vhost 配置的

我需要一个旧程序的 HTTP 连接，但希望其他区域尽可能的安全。

谢谢

Answer 1

即使您发送了 HSTS 标头，您也可以使用 HTTP。HSTS 只是通过 HTTPS 发送。因此，如果您的客户端不使用 SSL，那么您就看不到它。