dns - Google 如何在其 .app TLD 上强制使用 HTTPS？

Question

在 2018 年 I/O 大会上，谷歌宣布了他们的新 .app TLD，并表示它将仅支持 HTTPS。

我认为 DNS 只是将域名映射到 IP。

他们如何强制使用 HTTPS？

Answer 1

(这里有点题外话)

它被称为 HSTS 预加载，参见 https://hstspreload.org/

HSTS(HTTP 严格传输安全)是服务器回复客户端的一种方式:请仅通过 HTTPS 与我联系(参见 https://www.troyhunt.com/the-6-step-happy-path-to-https/ 示例)。它增强了安全性，但仍然没有解决一个问题:在浏览器知道它应该改为使用 HTTPS 之前，与给定服务器的第一次连接可能通过 HTTP 发生。

因此出现了 HSTS 的“预加载”。

基本上这是所有主要浏览器代码中的硬编码列表
(参见 https://caniuse.com/#feat=stricttransportsecurity 兼容性取决于浏览器和版本，或参见底部代码链接[1])说明哪些域/TLD 启用了 HSTS，这意味着根本不允许 HTTP 连接。

注意:

任何人都可以按照一些要求向此列表提交姓名，请参阅 https://hstspreload.org/#submission-requirements

Google(从 Chrome 开始，但现在已在浏览器中传播)欢迎包含 TLD 而不仅仅是主机名，请参阅文档末尾 https://hstspreload.org/ (“顶级域名预加载”)

他们已经添加了 .DEV在过去(TLD 本身还没有上线，但谷歌将“很快”推出它)这打破了许多开发人员的设置，他们(错误地)使用了 .DEV域名来命名他们的本地资源，一旦他们的浏览器更新了更新的 HSTS 预加载列表，他们就拒绝连接到他们的本地 .DEV没有 HTTPS 的主机。您可以在这里和其他地方(例如: https://ma.ttias.be/chrome-force-dev-domains-https-via-preloaded-hsts/)找到许多关于开发人员反对它的恐怖故事，也可能有人为此提供了糟糕的解决方案(例如禁用 HSTS 预加载，这是一个非常糟糕的主意)。

当您购买 .APP 时也是如此域名(对于 .DEV 也是如此)，谷歌(作为 .APP 的注册机构)确保与所有注册商签订契约(Contract)，在结账 .APP 时，他们会这样做。购买域名，显示一条明显的消息，上面写着:“.APP 是一个安全的 TLD，网站只能使用 SSL 证书(原文如此)；确保购买 SSL 证书”(SSL 证书直接来自谷歌的文档，这是很可悲读他们出来，因为它是错上加错名词，它应该是一个“X.509证书”或者，为了不吓唬任何人，至少是“用于TLS通信证书”一，现在没有人应该再使用 SSL 了......)。

顺便说一句， .APP昨天，5 月 8 日，以标准价格向公众开放。

当然，所有这些都只与网页浏览有关。您可以在 .APP 之上设置任何其他类型的服务，例如电子邮件。域名，没有任何强制性的 TLS(这当然现在不是一个好主意，但没有什么能阻止你这样做)。对于电子邮件，目前正在讨论基本采用 HSTS，但对于 MTA，请参阅 https://datatracker.ietf.org/doc/draft-ietf-uta-mta-sts/

[1] 查看一些带有 HSTS 预加载列表的源代码:

https://chromium.googlesource.com/chromium/src/net/+/master/http/transport_security_state_static.json

https://dxr.mozilla.org/mozilla-central/source/security/manager/ssl/nsSTSPreloadList.inc

或者您可以在 https://hstspreload.com/ 使用 API了解名字是否在名单上