Nginx - Konfiguration af HTTP Strict Transport Security

Med følgende konfiguration kan Nginx webserveren konfigureres til at understøtte HTTP Strict Transport Security (HSTS).

Headeren skal indstilles per hjemmeside, konfigurationsfilen findes normalt i /etc/nginx/sites-available/.

server {
listen 443 ssl default deferred;
...
# config to enable HSTS(HTTP Strict Transport Security)
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains;";
...
}

Tilføjelsen af includeSubDomains indstilling sikrer at browseren for alle underdomæner af domænet vil forbinde via HTTPS. Udelader man denne indstilling forhindres denne funktionalitet, men det kan ikke anbefales. Efter genindlæsningen af Nginx konfiguration, vil headeren blive præsenteret til browseren med en udløbstid på 63072000 sekunder (2 år). Denne Strict-Transport-Security header bør kun tilføjes til HTTPS (: 443) konfiguration, og ikke i HTTP (: 80) versionen.