Как очистить или отключить HSTS для Chrome, Firefox и Internet Explorer

Что такое HSTS?

HSTS (HTTP Strict Transport Security) — это механизм веб-безопасности, который помогает браузерам устанавливать соединения через HTTPS и ограничивать небезопасные соединения HTTP. Механизм HSTS был в первую очередь разработан для борьбы с атаками SSL Strip, которые могут понизить защищенные HTTPS-соединения до менее безопасных HTTP-соединений.

Однако некоторые настройки HSTS вызовут ошибки браузера, которые сделают вашу работу в Интернете гораздо менее приятной. Вот ошибка Chrome, которая часто возникает из-за неправильной настройки HSTS:

«Ошибка конфиденциальности: ваше соединение не является частным» (NET::ERR_CERT_AUTHORITY_INVALID)

Если вы получаете сообщение об ошибке конфиденциальности при попытке посетить определенный веб-сайт, а тот же веб-сайт доступен из другого браузера или устройства, велика вероятность того, что у вас возникли проблемы с настройкой параметров HSTS. В этом случае решением будет удаление или отключение HSTS для вашего браузера.

Поддержка браузерами

Сегодня Strict Transport Security поддерживается всеми современными браузерами. По данным Caniuse, 96,77% пользователей используют браузеры, поддерживающие HSTS.

Настройка

Внедрение HSTS осуществляется либо активацией в личном кабинете хостинг-провайдера, либо прописыванием заголовка HTTP Strict Transport Security, который добавляется ко всем ответам от вашего сервера..

В панели управления хостингом

Сначала узнайте, есть ли такая функция на вашем хостинге. Например, если вы используете панель ISPmanager, достаточно поставить галочку после выдачи SSL-сертификата.

С помощью файла .htaccess

Откройте файл .htaccess с помощью FileZilla и добавьте код. Заголовок может содержать различный набор переменных, для своего блога я выбрал наиболее полный вариант:

Набор заголовков Strict-Transport-Security «max-age=31536000; includeSubDomains; preload» env=HTTPS

• Strict-Transport-Security — заголовок, принудительно использующий протокол HTTPS;
• параметр max-age сообщает браузеру время в секундах (31536000 с равняется примерно году), когда веб-сайт доступен только через соединение https;
• includeSubDomains указывает, что это правило также применяется ко всем субдоменам;
• preload — такой директивой считается запрос на включение сайта в список preload.

О необходимости создания списка мы подробно поговорим ниже, а пока лишь отмечу, что удаление директивы preload считается запросом на ее удаление из него.

Причины ошибки «Невозможно установить безопасное соединение https»

Основная причина, по которой пользователь может увидеть сообщение «Невозможно установить безопасное соединение», — проблема с SSL-сертификатом. Это цифровой сертификат, который позволяет передавать пользовательские данные, например номера банковских карт, по специальному протоколу HTTPS. Данные по этому протоколу передаются в зашифрованном виде. Благодаря этой технологии вся конфиденциальная информация, которую пользователь вводит на сайте, защищена от перехвата злоумышленниками.

Понять, что на сайт установлен SSL-сертификат, можно по значку замка в строке браузера и по адресу страницы — он начинается с https.

Когда человек вводит запрос в Яндекс.Браузер и переходит на сайт, браузер в этот момент проверяет SSL-сертификат, чтобы подтвердить безопасность сайта. Если на сайте не установлен SSL-сертификат или он работает некорректно, браузер выдаст ошибку «Невозможно установить безопасное соединение» (невозможно проверить сертификат) и откажет в доступе к ресурсу. Это стандартный способ защиты пользователей: без действующего SSL-сертификата злоумышленники могут перехватить любые данные, которыми вы обмениваетесь с сайтом.

Ошибка «Невозможно установить безопасное соединение»: как исправить

Причины появления ошибки могут быть как со стороны владельца сайта — он не установил SSL-сертификат, забыл обновить, неправильно его настроил, так и со стороны пользователя — устаревшие данные кеша, устаревшая версия браузера, дополнительные расширения, антивирус, и т.д. Как исправить ошибки безопасного соединения в Яндекс.Браузере для владельца сайта и пользователя, мы расскажем ниже.

«Невозможно установить безопасное соединение»: что делать владельцу сайта

Если администратор сайта обнаружил, что эта ошибка появляется при доступе к его сайту, причин может быть несколько:

• SSL-сертификат не подключен. Если вы хотите, чтобы ресурс был надежным и безопасным, выпуск SSL-сертификата — важный шаг. А если сайт собирает личные данные о пользователях, обязательно нужно установить SSL-сертификат. Как правило, сертификаты выдаются и оплачиваются на один год, а затем продлеваются. Сертификаты можно заказать как напрямую в удостоверяющих центрах, так и у их партнеров — регистраторов доменов, хостинг-провайдеров. Например, RU-CENTER предоставляет SSL-сертификаты, соответствующий вариант можно посмотреть на сайте.
• Срок действия SSL-сертификата истек. Вы всегда можете проверить, когда истечет срок действия услуги и при необходимости продлить ее в личном кабинете провайдера. В RU-CENTER для всех сервисов, в том числе SSL-сертификатов, по умолчанию установлено автоматическое продление, чтобы избежать проблем с доступом к сайту.
• Перенаправление с HTTP на HTTPS не настроено. После покупки сертификата необходимо настроить перенаправление запросов с протокола HTTP на защищенный протокол HTTPS, иначе ваш сайт будет недоступен для посетителей. Инструкция по настройке сайта для работы по протоколу HTTPS на хостинге RU-CENTER доступна в разделе «Помощь».
• Сайт имеет смешанный контент. Даже если вы установили SSL-сертификат и настроили перенаправление на HTTPS, иногда на сайте может появляться смешанный контент: например, HTTPS-страница содержит изображения, загруженные по HTTP. В этом случае браузер также будет блокировать контент, который не передается по защищенному протоколу. О том, как найти и удалить смешанный контент, мы писали в статье.

«Невозможно установить безопасное соединение»: как отключить ошибку пользователю

Если пользователь столкнулся с ошибкой на одном конкретном сайте, стоит проверить, открывается ли этот сайт на разных устройствах и в разных сетях, в другом браузере. Если проблема не устранена, проблема связана с самим веб-сайтом. В этом случае следует дождаться, пока менеджер ресурсов исправит ошибку: обновить SSL-сертификат, настроить редирект с HTTP на HTTPS.

Если проблема не в веб-сайте, попробуйте следующие решения.

Способ 1. Откройте сайт в режиме «Инкогнито»

Проверьте, нет ли ошибки «Невозможно установить безопасное соединение» в режиме инкогнито в браузере.

Если сайт открывается, проблема может быть в кеше или в недавно установленных расширениях.

Способ 2. Очистите кеш в Яндекс.Браузере

Когда вы посещаете веб-сайты, Яндекс.Браузер сохраняет некоторую информацию в кеше и файлах cookie. Если в кеше содержится устаревшая информация о SSL-сертификате или шифровании сайта, это может быть причиной появления сообщения «Не удалось установить безопасное соединение».

Поэтому одним из самых быстрых и простых способов решения этой ошибки является очистка кеша браузера. Для этого в Яндекс.Браузере перейдите в «Настройки».

Затем выберите блок «Система», в конце страницы нажмите «Очистить историю».

В списке «Очистить историю» нужно выбрать период удаления и пункты «Файлы cookie и другие данные для веб-сайтов и модулей» и «Файлы, хранящиеся в кеше», после чего нажать «Очистить».

Теперь проверьте, открывается ли страница.

Способ 3. Проверьте дату и время на компьютере

Иногда неправильная дата и время на компьютере могут вызывать проблемы в Яндекс браузере. Поэтому важно убедиться, что вы ввели правильный часовой пояс и дату. При необходимости вы можете изменить этот параметр в Windows, щелкнув дату и время в правом нижнем углу.

Затем нажмите «Изменить настройки даты и времени» и введите правильную дату и время.

Способ 4. Удалите или отключите расширения Яндекс.Браузера

Расширения браузера иногда могут влиять на работу страниц и веб-сайтов. Это характерно для антивирусных программ и расширений, связанных с безопасностью. Попробуйте отключить их и проверьте, исчезла ли ошибка.

Способ 5. Обновите версию Яндекс.Браузера

Ошибка может возникать из-за устаревшей версии браузера. Иногда проблема решается после обновления версии браузера.

Способ 6. Временно отключите антивирус

Работа антивируса, а также работа расширений иногда влияет на открытие страниц в браузере. Чтобы убедиться, что ваша антивирусная программа не блокирует сайт, временно отключите ее и проверьте, сохраняется ли ошибка безопасного соединения.

Способ 7. Отключите VPN

Если вы используете VPN-подключение, лучше отключить его на время диагностики. В некоторых случаях VPN мешает корректной загрузке страниц. После деактивации проверьте работу браузера.

Исправление ошибки «Невозможно установить безопасное соединение» Windows

Если предыдущие способы не помогли решить проблему, вы можете попробовать дополнительные решения с Windows.

Preload list

У рассмотренного механизма все же есть недостаток: политика HSTS не способна защитить первое подключение к сайту, а утечка данных по-прежнему актуальна. Но клиент может переустановить систему, войти с другого браузера или устройства или просто очистить кеш.

Получается, что все эти ситуации не могут гарантировать 100% безопасное соединение. Это особенно важно на ресурсах, которые совершают транзакции.

Поэтому в 2010 году Google Chrome начал дополнительно составлять список веб-сайтов, которые при первом посещении пользователем браузера Chrome открываются исключительно по протоколу HTTPS.

Позже на основе этого списка предварительной загрузки HSTS стали формироваться списки для Microsoft, Safari, Mozilla Firefox.

Чтобы попасть в список, воспользуйтесь сервисом HSTS Preload. Сначала он проверяет сайт на соответствие требованиям.

Если результат отрицательный, вы увидите красный или желтый экран и ошибки, которые необходимо исправить.

При положительном результате выводится сообщение о том, что тестируемый сайт можно добавить в список предзагрузки.

Если вы уверены, что протокол HTTPS работает правильно, отправьте запрос. Если вы сомневаетесь, сначала проверьте, установив небольшой период времени.

Требования для добавления веб-сайта в список предварительной загрузки:

• наличие SSL-сертификата;
• перенаправить все страницы с http:// на https://;
• все поддомены (включая www, если для него есть DNS-запись) работают по протоколу HTTPS;
• директива о максимальном возрасте старше одного года;
• указать директиву includeSubDomains;
• наличие директивы preload.

Решил отправить заявку, поставил галочки и попросил добавить sitefromzero.info в список Google HSTS, откуда данные потом будут поступать в другие браузеры.

Проверка

Новые списки жестко запрограммированы в исходный код Chrome, и потребуется несколько месяцев, чтобы сайт постоянно отображался в списке. Проверить текущий статус можно с помощью специальных сервисов.

hstspreload.org

HSTS Preload рекомендует вернуться через несколько дней и проверить статус сайта. Если он не соответствует требованиям безопасного соединения, он будет исключен из списка.

ssllabs.com

Вы также можете проверить, находится ли проект в списке предварительной загрузки, используя сервис ssllabs.com.

Рейтинг «А+» означает, что сайт работает по HSTS.

net-internals

Проверить правильность работы HSTS можно, перейдя по ссылке chrome://net-internals/#hsts и указав свой домен. Если алгоритм работает, вы увидите аналогичный результат.

Влияние на SEO

Как я писал выше, механизм HSTS был разработан и реализован для дополнительной защиты сайтов. Но это не единственное преимущество.

Скорость загрузки

Так как проект теперь работает исключительно по протоколу HTTPS и перенаправление не требуется, цепочка запросов к серверу укорачивается, что снижает нагрузку и увеличивает скорость загрузки страниц. Это положительно влияет на SEO в целом и на ранжирование в частности.

Mixed content

Страницы открываются через https://, но мы используем javascript и фреймы, которые ссылаются на http://, чтобы стилизовать их. Это могут быть блоки подписки, ролики с Youtube.

До того, как мы настроили HSTS, у нас была проблема со смешанным контентом, которая автоматически решается заменой всех ссылок на безопасный https://.

Недостатки

Теперь позвольте мне повторить отрицательную сторону вопроса. Главный минус в том, что процедура удаления довольно длительная, может занять несколько месяцев. Это означает, что в случае ошибки страница будет недоступна.

Каждый поддомен также должен иметь свой сертификат и работать по протоколу HTTPS.

Именно поэтому рекомендуется проходить процедуру поэтапно, выставлять время сначала 5 минут, потом неделю, месяц и проверять трафик. Только когда вы уверены, что сайт и сертификат работают стабильно, посетители не пропадают, подавайте заявку на включение в список Preload.

NTP-атаки

К сожалению, злоумышленники могут атаковать даже HSTS, влияя на сетевой протокол времени (NTP). Суть в изменении срока годности: если удалось обмануть браузер, что запись просрочена, доступ к http:// будет открыт://.

Другие технологии безопасности, такие как SSL/TLS, Kerberos и Active Directory, также могут быть уязвимы для таких атак.

Удаление

Если вам все еще нужно покинуть список предварительной загрузки, заполните запрос на удаление, сначала удалите директиву предварительной загрузки. По словам самого сервиса, процесс исключения занимает 6-12 недель.

Нокаутирующая запись поможет полностью отключить HSTS:

Строгая транспортная безопасность: max-age=0

Он доминирует над записью в списке предварительной загрузки, и браузер будет вести себя так, как будто сайта нет в списке предварительной загрузки.

Безопасность прежде всего

Так что же такое HTTPS? Это название является аббревиатурой от «Безопасный протокол передачи гипертекста» (переводится как «Защищенный протокол передачи гипертекста»). И это симбиоз нескольких сетевых протоколов — базового HTTP и криптографического SSL/TLS. Теперь передаваемые данные шифруются для повышения безопасности установленного интернет-соединения, что способствует его надежности и безопасности.

Все больше и больше веб-сайтов сейчас переходят на HTTPS, как из-за повышенной безопасности этого протокола, так и из-за обещания Google отдавать приоритет веб-сайтам с https в результатах поиска.

Отключаем https

В то же время бывают ситуации, когда может потребоваться отключить поддержку https в браузерах Яндекс, Хром и Опера. Это связано с особенностями некоторых сайтов, которые не всегда корректно работают с протоколом https.

В то же время я замечаю, что обычно, если вы когда-либо посещаете веб-сайт, использующий https, браузер запоминает этот домен и в следующий раз автоматически перенаправляет на https-версию этой страницы.

Как отключить https в браузере

Чтобы отключить https в браузере для определенного веб-сайта, сделайте следующее.

1. Уходим с этой страницы, закрываем все вкладки и оставляем основную;
2. Очистить всю историю активности и кеш;
3. Заходим на сервисную страницу браузера, прописав в поле адреса следующее:

• Для Яндекс.Браузера — http://about:net-internals#hsts
• Для Google Chrome — chrome://net-internals/#hsts

В поле ввода «Удалить домен» вводим имя домена сайта (например, sample.com) и нажимаем «Удалить». Теперь в следующий раз вводите адрес сайта с http, а не с https и используйте параметры для небезопасного соединения.

При этом знайте, что проблемы с корректным использованием протокола https на вашем компьютере могут быть связаны с неправильными настройками даты или времени на нем.

Вы также можете изменить параметры безопасности HTTPS в настройках браузера. Например, для Chrome это можно сделать, зайдя в настройки, выбрав «Показать дополнительные настройки» и выбрав «Настроить сертификаты» в пункте HTTPS.

Как убирать https из Вконтакте

Страница социальной сети Вконтакте позволяет отключить использование протокола https при работе с этой социальной сетью.

1. Для этого зайдите в настройки своей страницы (vk.com/settings).
2. Перейдите на вкладку «Безопасность» и снимите флажок «Использовать защищенное соединение (HTTPS)».
3. В то же время некоторые пользователи рекомендуют, если флажка нет, сначала поставить его, нажать «Сохранить», а затем поднять его и снова нажать «Сохранить».
   Не используйте защищенное соединение HTTPS

В следующий раз, когда будете заходить на страницу ВК, помните об особенностях редиректа (которые указаны чуть выше), уберите упоминание этого домена, как указано выше, и заходите на этот ресурс по http.

Если это не поможет, попробуйте зайти на этот сайт из другого браузера.

Кроме того, спешу обратить внимание читателей на то, что не стоит надеяться зайти на сайт с http по ссылке, где указан https.

Читайте также: Как включить демонстрацию экрана в скайп (Skype)

Очистка настроек HSTS в Chrome

Проблема с настройками HSTS в Chrome обычно показывает ошибку типа «Ваше соединение не защищено» в Chrome. Если вы развернете меню «Дополнительно» (связанное с ошибкой), вы, вероятно, увидите небольшое упоминание о HSTS («Вы не можете посетить *название веб-сайта*, потому что веб-сайт использует HSTS. Сетевые ошибки и атаки обычно носят временный характер. » , так что эта страница, вероятно, заработает позже. «)

Если вы столкнулись с таким же поведением, выполните следующие действия, чтобы очистить кеш HSTS в браузере Chrome:

1. откройте Google Chrome и вставьте в омнибар следующее: chrome://net-internals/# hsts
2. Убедитесь, что политика безопасности домена развернута, затем используйте поле «Домен» (в разделе «Запрос домена HSTS/PKP»), чтобы ввести домен, для которого вы пытаетесь извлечь данные из настроек HSTS. Вы получите список значений.
3. Как только значения будут возвращены, прокрутите вниз до пункта «Удалить политики безопасности домена», введите то же имя домена и нажмите кнопку «Удалить», чтобы удалить настройки HSTS.
4. Перезапустите Chrome и посмотрите, можете ли вы получить доступ к домену, для которого вы ранее удалили настройки HSTS. Если проблема связана с настройками HSTS, сайт должен быть доступен.

Очистка или отключение настроек HSTS в Firefox

По сравнению с Chrome, в Firefox больше способов удалить или отключить настройки HSTS. Сначала мы начнем с автоматических методов, но мы также включили несколько ручных подходов.

Метод 1: очистка настроек, забыв о веб-сайте

1. откройте Firefox и убедитесь, что все открытые вкладки или всплывающие окна закрыты.
2. Нажмите Ctrl + Shift + H (или Cmd + Shift + H на Mac), чтобы открыть меню «Библиотека .
3. Найдите веб-сайт, для которого вы хотите удалить настройки HSTS. Вы можете упростить себе задачу, воспользовавшись полем поиска в правом верхнем углу.
4. Как только вы сможете найти сайт, для которого вы пытаетесь удалить настройки HSTS, щелкните его правой кнопкой мыши и выберите «Забыть этот сайт». Это приведет к удалению настроек HSTS и других кэшированных данных для этого домена.
5. Перезапустите Firefox и посмотрите, решена ли проблема. Если это была проблема HSTS, теперь вы сможете нормально просматривать сайт.

Если этот метод не работает или вы ищете способ удалить настройки HSTS без удаления остальных кэшированных данных, перейдите к другим методам ниже.

Метод 2: Очистка HSTS путем очистки настроек сайта

1. откройте Firefox, нажмите «Библиотека» и выберите «История» > «Очистить недавнюю историю .
2. В окне «Очистить всю историю» установите для раскрывающегося меню «Временной диапазон для удаления» значение «Все .
3. Затем разверните меню «Сведения» и снимите все флажки, кроме «Настройки сайта .
4. Нажмите кнопку «Очистить сейчас», чтобы очистить все настройки изменения сайта, включая настройки HSTS .
5. Перезапустите Firefox и посмотрите, решится ли проблема при следующем запуске.

Метод 3: Очистка настроек HSTS путем редактирования профиля пользователя

1. Полностью закройте Firefox и все связанные с ним всплывающие окна и значки на панели задач.

Перейдите к местоположению вашего профиля пользователя Firefox. Вот список возможных местоположений: C: Пользователи * AppData Local Mozilla Firefox Profiles C: Пользователи * AppData Roaming Mozilla Firefox Profiles/Users/*/Library/Application Support /Firefox/Profiles — Mac

1. Примечание. Вы также можете найти свой профиль пользователя, вставив «about: support» в панель навигации вверху и нажав Enter. Вы найдете папку профиля в разделе Основные сведения о приложении. Просто нажмите «Открыть папку», чтобы перейти к папке вашего профиля. Но как только вы это сделаете, обязательно полностью закройте Firefox.

2. В папке вашего профиля Firefox откройте SiteSecurityServiceState.txt в любом текстовом редакторе. Этот файл содержит кэшированные настройки HSTS и HPKP (закрепление ключей) для доменов, которые вы ранее посещали.
3. Чтобы удалить настройки HSTS для определенного домена, просто удалите всю запись и сохраните документ .txt. Обратите внимание, что формат неясен, поэтому будьте осторожны, чтобы не удалить информацию из других записей. Вот пример записи HSTS: appual.disqus.com:HSTS 0 17750 1533629194689,1,1,2Примечание. Вы также можете переименовать весь файл с .txt на .bak, чтобы сохранить существующий файл на всякий случай. Это заставит Firefox создать новый файл и начать с нуля, удалив все ранее сохраненные настройки HSTS.
4. После удаления записи и сохранения файла закройте SiteSecurityServiceState.txt и перезапустите Firefox, чтобы проверить, решена ли проблема.

Метод 4: отключить HSTS из браузера Firefox

1. Запустите Firefox и введите «about:config» в адресной строке вверху. Тогда нажмите «Я принимаю риск»! для входа в меню дополнительных настроек .
2. Найдите «hsts», используя поле поиска в правом верхнем углу экрана.
3. Дважды щелкните security.mixed_content.use_hstsc, чтобы переключить параметр на отключение HSTS в Firefox.

Очистка или отключение настроек HSTS в Internet Explorer

Поскольку это важное улучшение безопасности, HSTS включен по умолчанию как в Internet Explorer, так и в Microsoft Edge. Хотя не рекомендуется отключать HSTS в браузерах Microsoft, вы можете отключить эту функцию для Internet Explorer. Вот краткое руководство о том, как это сделать с помощью редактора реестра:

Примечание. Имейте в виду, что процедура дольше, если у вас есть система на базе x64, чем если у вас есть система на основе x86.

1. Нажмите клавишу Windows + R, чтобы открыть окно «Выполнить». Затем введите «regedit» и нажмите Enter, чтобы открыть редактор реестра.
2. Используйте левую панель в редакторе реестра и перейдите к следующему подразделу реестра: HKEY_LOCAL_MACHINE SOFTWARE Microsoft Internet Explorer Main FeatureControl
3. Щелкните правой кнопкой мыши FeatureControl и выберите «Создать» > «Ключ». Назовите его FEATURE_DISABLE_HSTS и нажмите Enter, чтобы создать новый ключ.
4. Щелкните правой кнопкой мыши FEATURE_DISABLE_HSTS и выберите «Создать» > «Значение DWORD (32-разрядное .
5. Назовите вновь созданный DWORD iexplore.exe и нажмите Enter для подтверждения .
6. Щелкните правой кнопкой мыши файл iexplore.exe и выберите «Изменить». В поле «Значение» введите 1 и нажмите «ОК», чтобы сохранить изменения.
   Примечание. Если вы используете систему на базе x86, вы можете сохранить изменения, перезагрузить компьютер и посмотреть, был ли метод успешным. Если вы делаете это в системе на базе x64, перейдите к следующим шагам ниже.
7. Снова используйте левую панель, чтобы перейти к следующему подразделу реестра: HKEY_LOCAL_MACHINE SOFTWARE Wow6432Node Microsoft Internet Explorer Main FeatureControl
8. Щелкните правой кнопкой мыши FeatureControl и выберите New > Key , назовите его FEATURE_DISABLE_HSTS и нажмите Enter, чтобы сохранить изменения.
9. Щелкните правой кнопкой мыши FEATURE_DISABLE_HSTS, выберите «Создать» > «Значение DWORD (32-разрядное)» и назовите его iexplore.exe .
10. Дважды щелкните файл iexplore.exe, измените значение поля «Установить данные» на 1 и нажмите «ОК», чтобы сохранить изменения.
11. Перезагрузите компьютер и проверьте, отключены ли настройки HSTS для Internet Explorer при следующем запуске.