HSTS
HSTSとは、WebサーバがHTTPヘッダの中で指定する項目の一つで、Webブラウザに対して以降は常にHTTPSによる通信を行うよう指示するもの。RFC 6797として標準化されている。 webアプリケーション側でhttpsにリダイレクトはよくやることだが、そもそも初回のアクセスでhttpを使ってしまっているので、ここで攻撃を受けてしまう危険がある
なので、ブラウザ側でhttpsに置き換えてしまえ、というもの
これを行うドメインのリストを、HSTS preload listという
このリストには、２種類の流入源がある
webサーバからの自己申告でいれるもの
これはブラウザ使ってる人が設定から消すこともできる
ブラウザにハードコードされてるもの
トップレベルドメインは、.appと.dev等が入ってる
chroniumの場合、ハードコードされているものは消せない
リストからの削除は
chromeの場合 chrome://net-internals/#hsts からできる
しかし、上記の通り、ハードコード入ってるpreload listは、設定操作で消すことが出来ない
上記の設定画面から実際にやってみたが、特に何もエラーが出てこなくてわかりにくいが、消えなかった
開発時にmy-awesome-app.devみたいなドメインを/etc/hostsに書いて使うと、httpsじゃないと開発ができなくなる
参考
いつから入り始めたかと言うと、2017あたりから
購入自体は2015あたり？