Endast HTTPS, fortsättning

Mer om HSTS för icke-standard-portar.

John Wilander har undersökt hur olika webbläsare (och webbläsartillägg) hanterar HSTS över icke-standard-portar. Och resultaten ser hittills lite blandade ut. Läs här, här och sen här.

Då HTST-utkastet i dagsläget inte adresserar icke-standard-portar skiljer sig hanteringen mellan implementationer.

Som vi tidigare uppmärksammat har Mozilla valt följande spår för Firefox 4 för en sida med HSTS "aktivt":

• Om sidan efterfrågas över HTTP på standard-porten 80 skall porten ändras till 443 och protokollet till HTTPS.
• Om sidan efterfrågas över HTTP på en icke-standard-port skall porten förbi oförändrad men protokollet skall bytas till HTTPS.

Google Chrome har dock valt att inte upprätthålla HSTS för icke-standard-portar. Chrome agerar på följande sätt:

• Om sidan efterfrågas över HTTP på standard-porten 80 skall porten ändras till 443 och protokollet till HTTPS.
• Om sidan efterfrågas över HTTP på en icke-standard-port sker ingen omskrivning av varken port eller protokoll.

Det återstår att se när utkastet uppdateras med hantering av icke-standard-portar. Vi ser i alla fall fram emot fler tester och nya implementationer.