google-chrome - Chrome 在非 ssl heroku web 应用程序上强制使用 ssl

Question

我有一个在 Heroku 上运行的应用程序，以及一个指向它的 dns cname 条目。看起来像这样:

one.nest.mysite.com --> one-nest-domain.herokuapp.com

我们还有另一个使用 ssl 的站点，带有 *.mysite.com 的证书。

现在在 Chrome 52 中，当我转到 http://one.nest.mysite.com(不是 https)时，我会重定向到 https://，Chrome 会警告“您的连接不是私密的，攻击者可能是……”等。

我想我理解了警告(*.mysite.com does not cover one.nest.mysite.com，但是为什么强制使用 https？这是一些在某处缓存重定向？我已经尝试完全清除我的浏览器数据，但它仍然发生。我也发现它在 Safari 中工作正常...

最后，当我转到 http://one-nest-domain.herokuapp.com(无 https)时，应用程序加载正常，没有重定向。

Answer 1

因此，我们的主站点 nest.mysite.com 的配置似乎在固定证书时包括了子域。所以在访问https://nest.mysite.com之后，证书存储在客户端并固定到子域。随后访问http://one.nest.mysite.com将使用该证书，这将强制 ssl 并导致错误。

从我们的主服务器配置中排除子域固定似乎有固定的东西。请注意，要传播修复程序，用户必须访问 https://nest.mysite.com刷新 ssl 设置，然后 http://one.nest.mysite.com按预期工作。

希望这对其他人有用。警告:我不是 SSL 方面的专家，所以请对我的回答持保留意见。