Как навсегда отключить Chrome HSTS для поддомена

Вы можете ввести thisisunsafe в любом месте страницы предупреждений Google Chrome, и он загрузится без предупреждения. Без шуток.

В основном домене вы можете удалить параметр includesubdomains в заголовке HSTS, чтобы он не перенаправлял субдомен.

Однако это не самое безопасное решение. Чтобы быть эффективным, лучше установить HSTS + includesubdomains на всех ваших доменах и поддоменах (или злоумышленник может подделать домен "http://secure.yourdomain.com" например).

Таким образом, наиболее безопасным решением является использование самозаверяющего сертификата (или настоящего) для ваших доменов разработчиков и его импорт в браузеры.

HSTS не «гадкий» - это функция безопасности. И тот, который ваш домен добровольно выбрал для активации!

Вы можете удалить параметр includeSubDomains из рабочей среды, чтобы он применялся только к домену верхнего уровня, а не к поддоменам, при условии, что вы не отправили его для предварительной загрузки в веб-браузеры (пожалуйста, скажите мне, что вы не загружали его предварительно, не полностью понимая, что это повлекло за собой! - вы можете проверить это, запустив свой основной домен с помощью инструмента тестирования SSL Labs).

Однако мир повсюду движется в сторону HTTPS, и ваши среды разработки не отражают производственную среду. Некоторые функции (HTTP / 2, геолокация ... и т. Д.) Будут работать только при использовании HTTPS и этот список постоянно растет. Кроме того, в зависимости от того, как вы разрабатываете и ссылаетесь на ресурсы, вы можете начать видеть предупреждения о смешанном или отсутствующем содержимом после развертывания в производственной среде. Поэтому, на мой взгляд, вам НЕОБХОДИМО использовать HTTPS в средах разработки / контроля качества. Хотя я не знаю вашу платформу, вам действительно лучше понять, как настроить HTTPS в своей среде разработки, чем пытаться обойти это. Самозаверяющие сертификаты можно создавать бесплатно и делать так, чтобы им доверяли в вашей тестовой среде, поэтому они неотличимы от настоящих сертификатов для избранного числа пользователей.