Comment puis-je appliquer efficacement HTTPS dans ASP.NET ?

Application permanente du HTTPS dans ASP.NET

Question :

Auparavant, appliquer le HTTPS sur toutes les demandes nécessitaient de vérifier manuellement chaque événement de chargement de page et de rediriger vers HTTPS si nécessaire. Existe-t-il une solution plus efficace ?

Réponse :

HTTP Strict Transport Security (HSTS)

HSTS a été incorporé dans ASP.NET pour fournir un mécanisme d'application HTTPS transparent. Il fonctionne en envoyant un en-tête spécial au navigateur client indiquant que toutes les futures demandes adressées au domaine spécifié doivent être effectuées via HTTPS.

Mise en œuvre :

1. Configuration IIS : Activez HSTS dans IIS en ajoutant la règle suivante à votre web.config :

<outboundRules>
  <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
    <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
    <conditions>
      <add input="{HTTPS}" pattern="on" ignoreCase="true" />
    </conditions>
    <action type="Rewrite" value="max-age=31536000" />
  </rule>
</outboundRules>

2. Redirection vers HTTPS : Si HTTPS n'est pas appliqué sur IIS, vous pouvez également rediriger manuellement les requêtes vers HTTPS en utilisant le code suivant dans l'événement Application_BeginRequest :

protected void Application_BeginRequest(Object sender, EventArgs e)
{
    if (HttpContext.Current.Request.IsSecureConnection.Equals(false) &&
        HttpContext.Current.Request.IsLocal.Equals(false))
    {
        Response.Redirect("https://" + Request.ServerVariables["HTTP_HOST"] +
            HttpContext.Current.Request.RawUrl);
    }
}

Avantages de HSTS :

• Applique HTTPS sur toutes les requêtes sans nécessiter d'événements de chargement de page.
• Améliore la sécurité en empêchant les rétrogradations non sécurisées.
• Réduit les avertissements du navigateur et méfiance des utilisateurs.
• Simplifie la configuration de l'application Web.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!