javascript - 有没有办法在没有 SSL 证书的情况下清除 HSTS？

Question

最近，我为我的站点切换了服务器，我设法丢失了解密的 SSL key ，而且我不记得加密的密码。结果是服务器开启了 HSTS，现在很多访问者无法加载页面，因为我没有有效的 SSL 证书，并且他们的浏览器由于 HSTS 而拒绝通过 http 连接。

所以，我需要一种方法来从他们的浏览器中禁用 HSTS。要求他们清除浏览数据是不行的，但我想知道我是否可以制作一个 firefox/chrome 兼容的 javascript 来清除它。 (脚本将在不同的域上)

我一直在深入研究，但没有找到太多关于我应该如何解决这个问题的信息，如果可能的话。也欢迎所有其他建议。

Answer 1

HSTS 是为了做出权衡:您负责从现在开始并永远提供浏览器可以信赖的安全 SSL 连接，这将导致浏览器拒绝与您的域的 SSL 连接以外的任何连接。这会给您带来额外的负担，但会增加访问者的安全性。

浏览器将此首选项存储在内部数据库中，任何网站都无法清除该数据库。如果任何站点都可以通过 Javascript 简单地撤销此首选项，那么整个系统将毫无意义。

您必须手动清除数据库和/或删除该特定条目。每个浏览器都有不同的做法，请参阅 http://classically.me/blogs/how-clear-hsts-settings-major-browsers概览。