HSTS Preload คืออะไร
เพิ่มความปลอดภัย HTTPS ระดับสูงสุดได้อย่างไร

หากคุณมี SSL certificate ติดตั้งแล้วและ redirect HTTP ไป HTTPS อยู่แล้ว นั่นคือจุดเริ่มต้นที่ดี แต่ยังมีช่องโหว่อยู่หนึ่งจุด — การเข้าเว็บครั้งแรกผ่าน HTTP ก่อน redirect ซึ่งแฮกเกอร์สามารถแทรกแซงได้ด้วยการโจมตีแบบ SSL Strip หรือ Man-in-the-Middle

HSTS Preload คือคำตอบสำหรับปัญหานี้ — บทความนี้จะอธิบายว่ามันคืออะไร ทำงานอย่างไร และจะเพิ่มเว็บของคุณเข้าสู่ list ที่ browser ทั่วโลกใช้ได้อย่างไร

HSTS คืออะไร — พื้นฐานที่ต้องรู้

HSTS (HTTP Strict Transport Security) คือ policy ของ web server ที่บอกให้ browser รู้ว่า "เว็บนี้ต้องใช้ HTTPS เท่านั้น" โดยส่งผ่าน HTTP response header ชื่อ Strict-Transport-Security

เมื่อ browser ได้รับ header นี้แล้ว จะจำไว้ตามช่วงเวลาที่กำหนด (max-age) ว่าโดเมนนี้ต้องใช้ HTTPS ก่อนส่ง request ใดๆ browser จะแปลง http:// ให้เป็น https:// โดยอัตโนมัติโดยไม่ต้องผ่าน server

HSTS ป้องกันอะไรได้บ้าง

• SSL Strip Attack — แฮกเกอร์ downgrade การเชื่อมต่อจาก HTTPS → HTTP
• Man-in-the-Middle (MitM) — แทรกแซงระหว่างผู้ใช้กับ server บน network ที่ไม่ปลอดภัย
• Cookie Hijacking — ดักจับ cookie ที่ส่งผ่าน HTTP
• Passive Eavesdropping — ดักฟัง traffic ที่ไม่ได้เข้ารหัส

HSTS Preload คืออะไร แตกต่างจาก HSTS อย่างไร

แม้ HSTS จะดีมาก แต่ยังมีจุดอ่อนหนึ่งที่เรียกว่า Trust On First Use (TOFU) — browser ต้องเข้าเว็บผ่าน HTTPS ครั้งแรกก่อนจึงจะจำได้ว่าต้องใช้ HTTPS

หากการเข้าครั้งแรกเกิดขึ้นบน HTTP (เช่น พิมพ์ domain เปล่าๆ หรือคลิกลิงก์ http://) ก็ยังเสี่ยงต่อการถูกโจมตีอยู่

HSTS Preload แก้ปัญหานี้โดยฝัง list ของโดเมนที่ "บังคับ HTTPS" ลงไปใน browser โดยตรง — ไม่ต้องรอเข้าเว็บครั้งแรก browser รู้ล่วงหน้าว่าโดเมนเหล่านี้ใช้ HTTPS เท่านั้น

HSTS Preload ทำงานอย่างไร

Chrome ดูแล HSTS Preload List ที่เป็น open-source ซึ่ง browser หลักๆ ทุกตัวดึงไปใช้งาน list นี้ฝังอยู่ใน source code ของ browser เป็นไฟล์ชื่อ transport_security_state_static.json

1. เจ้าของเว็บ submit โดเมนที่ hstspreload.org
2. ทีม Chrome ตรวจสอบเงื่อนไข (SSL + header + subdomain)
3. โดเมนถูกเพิ่มเข้า list และ merge เข้า Chromium source
4. เมื่อ Chrome release ใหม่ออก list ใหม่ถูก distribute ให้ผู้ใช้ทั่วโลก
5. Firefox, Safari, Edge ดึง list เดียวกันไปใช้

เงื่อนไขก่อน Submit เข้า Preload List

hstspreload.org กำหนดเงื่อนไข 5 ข้อที่ต้องผ่านทั้งหมดก่อน submit:

1. มี SSL certificate ที่ถูกต้อง — ต้องไม่หมดอายุ ต้องได้รับจาก CA ที่เชื่อถือได้
2. Redirect HTTP → HTTPS — port 80 ต้องส่ง redirect ไป HTTPS ทุกกรณี
3. HTTPS ต้อง serve บน port 443 โดยตรง
4. HSTS Header บน HTTPS ต้องมี:
   • max-age ≥ 31,536,000 (1 ปี)
   • includeSubDomains
   • preload
5. Subdomain ทุกตัวต้องรองรับ HTTPS — เช่น www, mail, ftp ต้องมี SSL ด้วย

วิธี Submit เว็บเข้า HSTS Preload List ทีละขั้นตอน

ขั้นตอนที่ 1 — ติดตั้ง SSL Certificate

ต้องมี SSL certificate ที่ valid บน domain หลักและทุก subdomain ใช้ Let's Encrypt (ฟรี) หรือ SSL Certificate จาก CA ที่น่าเชื่อถือ

ขั้นตอนที่ 2 — ตั้งค่า Redirect HTTP → HTTPS

บน Hosting ที่ใช้ DirectAdmin เปิด .htaccess แล้วเพิ่ม:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

ขั้นตอนที่ 3 — เพิ่ม HSTS Header

# ใน .htaccess หลัง redirect block
Header always set Strict-Transport-Security \
  "max-age=31536000; includeSubDomains; preload"

ขั้นตอนที่ 4 — ทดสอบด้วย hstspreload.org

เปิด hstspreload.org ใส่โดเมน กด Check Eligibility — ต้องผ่านทุกเงื่อนไขก่อน submit

ขั้นตอนที่ 5 — Submit โดเมน

กดปุ่ม "Submit" บน hstspreload.org และกรอกอีเมลเพื่อรับการแจ้งเตือน

ขั้นตอนที่ 6 — รอการ Review

ทีม Chrome จะตรวจสอบและ merge เข้า list — ใช้เวลาประมาณ 4-8 สัปดาห์ก่อนที่ผู้ใช้ส่วนใหญ่จะได้รับ update

ตั้งค่า HSTS Header ใน .htaccess อย่างสมบูรณ์

ตัวอย่างการตั้งค่าที่สมบูรณ์สำหรับ Apache (ซึ่ง DirectAdmin ใช้):

# บังคับ HTTPS
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# HSTS Header (เพิ่ม preload เมื่อพร้อม submit)
<IfModule mod_headers.c>
  Header always set Strict-Transport-Security \
    "max-age=31536000; includeSubDomains; preload"
</IfModule>

เปรียบเทียบระดับความปลอดภัย HTTPS

ข้อดีและข้อควรระวังของ HSTS Preload

ข้อดี

• ป้องกัน First Visit ได้ 100% — browser รู้ล่วงหน้าแล้ว
• ป้องกัน SSL Strip Attack ได้สมบูรณ์
• เพิ่มความน่าเชื่อถือของเว็บ
• ช่วยด้าน SEO — Google ให้ความสำคัญกับ HTTPS
• ผ่านมาตรฐาน security audit ระดับสูง
• ฟรี — ไม่มีค่าใช้จ่ายในการ submit

ข้อควรระวัง

• ถอนออกยากมาก — กว่าผลจะเห็นใช้เวลาปีขึ้นไป
• ต้องมั่นใจ SSL ทุก subdomain — ถ้า subdomain ใดไม่มี SSL จะเข้าไม่ได้
• ต้อง renew SSL ก่อนหมดอายุเสมอ — หาก SSL หมดอายุ ผู้ใช้จะเข้าเว็บไม่ได้เลย
• Development/staging ต้องมี SSL ด้วย — ถ้าใช้ subdomain เดียวกัน

วิธีถอนเว็บออกจาก HSTS Preload List

หากต้องการถอนโดเมนออก ทำได้ที่ hstspreload.org/removal โดย:

1. ลบ preload directive ออกจาก HSTS header บน server
2. Submit request ที่ hstspreload.org/removal
3. รอให้ Chrome ออก release ใหม่ที่ไม่มีโดเมนใน list

คำถามที่พบบ่อย