---
title: "HSTS (HTTP Strict Transport Security)"
description: "HSTS wymusza połączenia HTTPS i chroni przed atakami downgrade oraz SSL stripping. Poznaj nagłówek, dyrektywy, preload list i zasady wdrożenia."
url: "https://nodea.pl/pl/slownik-pojec/hsts"
lang: "pl"
updated: "2026-07-13"
---

# HSTS (HTTP Strict Transport Security)

> HSTS (HTTP Strict Transport Security) to mechanizm bezpieczeństwa, który wymusza na przeglądarce łączenie się z witryną wyłącznie przez szyfrowany protokół HTTPS. Chroni przed atakami downgrade i przechwyceniem sesji na niezaszyfrowanym połączeniu.

**HSTS** (HTTP Strict Transport Security) to polityka bezpieczeństwa przekazywana przez nagłówek HTTP, która nakazuje przeglądarce komunikować się z daną domeną wyłącznie przez szyfrowany protokół [HTTPS](https://nodea.pl/pl/slownik-pojec/https). Po jej odebraniu przeglądarka automatycznie zamienia każde wywołanie *http://* na *https://* jeszcze przed wysłaniem żądania, eliminując ryzyko przechwycenia niezaszyfrowanego połączenia. Standard opisano w dokumencie RFC 6797.

## Jak działa HSTS?

Serwer wysyła nagłówek *Strict-Transport-Security* w odpowiedzi HTTPS. Przeglądarka zapamiętuje politykę na czas określony dyrektywą *max-age* (w sekundach) i przez ten okres nie pozwala na połączenie po HTTP z tą domeną. Najważniejsze dyrektywy to:

- **max-age** — czas obowiązywania polityki, zwykle rok (31536000 sekund).
- **includeSubDomains** — rozszerza politykę na wszystkie subdomeny.
- **preload** — zgłasza domenę na listę wbudowaną w przeglądarki.

HSTS neutralizuje w szczególności atak *SSL stripping*, w którym napastnik typu [man-in-the-middle](https://nodea.pl/pl/slownik-pojec/man-in-the-middle) podmienia bezpieczne odnośniki na wersje HTTP. Ponieważ przeglądarka z zapamiętaną polityką w ogóle nie nawiązuje połączenia niezaszyfrowanego, taki downgrade staje się niemożliwy.

## Zastosowanie w praktyce

HSTS jest standardem w bankowości, panelach administracyjnych i sklepach, gdzie ochrona sesji jest krytyczna. Wdraża się go, dodając nagłówek w konfiguracji serwera (Apache, Nginx) lub w pliku [.htaccess](https://nodea.pl/pl/slownik-pojec/htaccess). Zalecana kolejność: najpierw upewnić się, że cały serwis wraz z subdomenami działa poprawnie po HTTPS z ważnym certyfikatem [TLS](https://nodea.pl/pl/slownik-pojec/tls), potem ustawić krótki max-age i stopniowo go wydłużać, a dopiero na końcu rozważyć zgłoszenie do preload list. HSTS zwykle wdraża się razem z pozostałymi [nagłówkami bezpieczeństwa](https://nodea.pl/pl/slownik-pojec/nagowki-bezpieczenstwa), jak CSP czy X-Frame-Options.

Trzeba mieć świadomość jednej pułapki: polityka zapisana w przeglądarce obowiązuje przez cały okres *max-age*, więc jeśli certyfikat wygaśnie lub pojawi się problem z HTTPS, użytkownicy nie zobaczą strony po HTTP — dostaną błąd bezpieczeństwa bez możliwości obejścia. Dlatego HSTS włącza się dopiero wtedy, gdy szyfrowane połączenie działa stabilnie, a odnawianie certyfikatów jest w pełni zautomatyzowane.

### Czym jest preload list w kontekście HSTS?

To wbudowana w przeglądarki lista domen, które zawsze mają być ładowane przez HTTPS — nawet przy pierwszej wizycie, zanim przeglądarka odbierze nagłówek. Domenę zgłasza się na hstspreload.org, ale decyzja jest praktycznie nieodwracalna, więc wymaga pewności, że cały serwis i subdomeny działają po HTTPS.

## Powiązane

- [HTTPS](https://nodea.pl/pl/slownik-pojec/https)
- [TLS](https://nodea.pl/pl/slownik-pojec/tls)
- [SSL](https://nodea.pl/pl/slownik-pojec/ssl)
- [Man in the middle](https://nodea.pl/pl/slownik-pojec/man-in-the-middle)
- [Nagłówki bezpieczeństwa](https://nodea.pl/pl/slownik-pojec/nagowki-bezpieczenstwa)

---

Wersje językowe: [en](https://nodea.io/en/glossary/hsts.md)  
Spis treści witryny: [llms.txt](https://nodea.pl/pl/llms.txt)