Сканирование веб-сайта с помощьюhttps://observatory.mozilla.orgвыдает следующую ошибку:Первоначальное перенаправление с http на https осуществляется на другой хост, что предотвращает HSTS.
Вопрос
- Это реальная проблема с моей настройкой или ошибка в инструменте, из-за которой он не видит поддомен как часть того же домена?
- Может ли кто-нибудь подсказать, что я упускаю из виду, основываясь на дополнительной информации ниже?
Деталь
Домен этого сайта зарегистрирован в Google Domains. Чтобы гарантировать, что любой, кто заходит на сайт через, example.com
будет автоматически перенаправлен на www.example.com
я настроил переадресацию на поддомен со следующим правилом:
example.com → https://www.example.com
Permanent redirect (301), Forward path
Кроме того, у меня есть правила на сайте (asp.net), web.config
чтобы перенаправлять любые HTTP-соединения на HTTPS и добавлять Strict-Transport-Security
HTTP-заголовок (когда он представлен только через HTTPS, согласно известномуБлог Скотта Хансельманасовет):
<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<system.webServer>
<rewrite>
<rules>
<rule name="HTTP to HTTPS redirect" stopProcessing="true">
<match url="(.*)" />
<conditions>
<add input="{HTTPS}" pattern="off" ignoreCase="true" />
</conditions>
<action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
</rule>
</rules>
<outboundRules>
<rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
<match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
<conditions>
<add input="{HTTPS}" pattern="on" ignoreCase="true" />
</conditions>
<action type="Rewrite" value="max-age=63072000; includeSubDomains; preload" />
</rule>
</outboundRules>
</rewrite>
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
<!-- add name="Strict-Transport-Security" value="max-age=63072000; includeSubDomains; preload" / -->
<add name="Content-Security-Policy" value="default-src 'self';" />
<add name="X-Content-Type-Options" value="nosniff" />
<add name="X-Frame-Options" value="DENY" />
<add name="X-Xss-Protection" value="1; mode=block" />
</customHeaders>
</httpProtocol>
</system.webServer>
</configuration>
Сам сайт размещен в Azure (под моими бесплатными кредитами подписки Visual Studio). URL сайта здесь — example.azurewebsites.net
, а в Google Domains у меня есть CName, указывающий www
на example.azurewebsites.net
(под пользовательскими записями ресурсов).