Копытов Иван: заметки с тегом сайт

Получаем данные с сайта СГК для Home Assistant

Thu, 20 Feb 2025 10:22:01 +0700

В Home Assistant у меня было отслеживание почти всех счетов по квартире: электроэнергия, коммунальные платежи, ТКО, капитальный ремонт и т. д. Проблема была только с сайтом компании СГК, которая занимается предоставлением горячей и холодной воды, отоплением и водоотведением. При помощи таких интеграций, как scrape и multiscrape загрузить данные с их сайта не получалось, поэтому пришлось пойти более сложным путем и написать свой скрипт. На деле он оказался совсем простым, требует доработки в плане проверок ответов сервера, но даже в таком виде он вполне работоспособен. Чтобы не перечислять все данные, возьму только отопление.


import requests
import json

login = data.get("username", "")
password = data.get("password", "")
login_url = 'https://krk.sibgenco.services/Account/Auth'
data_url = 'https://krk.sibgenco.services/fl/accounts/getAccounts'

headers = {
    "Content-Type": "application/x-www-form-urlencoded; charset=UTF-8",
    "User-Agent": "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:109.0) Gecko/20100101 Firefox/115.0",
}

# Создаем новую сессию
session = requests.Session()
# Авторизуемся на сервере
result = session.post(login_url, data = 'login=' + login + '&password=' + password, headers = headers)
# print(result.text)

# Получаем данные в JSON формате
result = session.get(data_url, headers = headers).json()
session.close()

# Перекодируем текст в читаемый
result = result.encode().decode('unicode-escape', 'ignore')
result = json.dumps(result)
result = json.loads(result)

# Убираем лишние кавычки в разделе "Cards" (откуда взялись?)
result = result.replace('"Cards":"', '"Cards":').replace('}]"}', '}]}')
# print(type(result))
# print(result)

if len(result) > 0:
    logger.info("Данные от СКГ получены")
else:
    logger.warning("Ошибка получения данных от СГК")
# print(result.encode().decode('unicode-escape', 'ignore'))

# Преобразуем строку данных в JSON объект
json_data = json.loads(result)["Accounts"][0]["CalcData"]["Products"]#[0]["ToPay"]

# print(json_data, '\n')
# print(json.dumps(json_data), '\n')

# for product in json_data["Accounts"][0]["CalcData"]["Products"]:
#     print(product["ItemName"] + ": " + str(product["ToPay"]) + " руб.")

if json_data[0]["ToPay"] > 0:
    hass.states.set('sensor.sgk_heating', json_data[0]["ToPay"] * -1)
else:
    hass.states.set('sensor.sgk_heating', json_data[0]["ToPay"])

В ходе работы скрипта получаем несколько секций для каждой из услуг, которые выглядят вот так:


  - IsFine: false
    Item: 13
    ContractId: 307015
    ItemName: Отопление
    SaldoBegin: 4228.65
    Paid: 4228.65
    SaldoEnd: 0
    FineEndCheck: true
    FineEnd: 0
    AccrualsCheck: false
    Accruals: 0
    Recalculation: 0
    ToPayCheck: true
    ToPay: 0
    ChargeDetails: ""
    PayDetails: 08.02.2025 4228.65;
    FinePayDetails: ""
    WebPayDetails: 08.02.2025=5338.65=20250208171312-99240-6764617.585349

Далее просто создаем автоматизацию в Home Assistant, которая будет запускать этот скрипт. Для надежности перед первым запуском создаем несколько новых сенсоров в примерно таком формате:


    # Задолженность за отопление, итого
    heating_debt_summary:
      unique_id: <тут ваш ID сенсора>
      attribute_templates:
        Пеня: "{{ states('sensor.sgk_heating_penya') }} ₽"
      device_class: monetary
      friendly_name: Задолженность за отопление
      unit_of_measurement: "RUB"
      # value_template: "{{ states('sensor.sgk_heating') | float(0) + states('sensor.sgk_heating_penya') | float(0) }}"
      value_template: "{{ states('sensor.sgk_heating') | float(0) }}"

Как видно, в сенсоре будет также атрибут «пеня». Можно вывести суммарную задолженность — долг+пеня, можно вывести только основную — на выбор.
И вот после сайта СГК меня слегка «понесло» и сделал схожие скрипты для получения информации с сайтов ФНС, капремонта, энергосбыта и регистратора доменов. С ФНС было интересно — там сначала нужно пройти basic-авторизацию, получить токен безопасности, авторизоваться еще раз и слать его при каждом запросе данных. А дальше было уже намного легче — у ФНС существует API, которое они активно используют. Официальной документации по нему нет, но, покопавшись на сайте, можно легко получить все запросы. Для чего нужны эти данные? Например, чтобы отслеживать задолженность по налогам (в том числе и самозанятого), недвижимость и банковские счета. Сейчас такое время, что на тебя могут открыть какой-то счет в банке, сделать тебя «начальником» какой-то конторы, а ты даже будешь не в курсе. Но стоит отметить, что в налоговой отображаются только обычные, дебетовые счета, информации по кредитам там нет.

Движение автобусов в Home Assistant

Wed, 17 Jan 2024 23:26:21 +0700

Добавление движения общественного транспорта в Home Assistant

Наконец-то у меня получилось. Как обычно, делал всё сильно неспешно при наличии свободного времени и желания. «Воды» не будет, поэтому поехали.
Сейчас не вспомню как, но как-то я вышел на адрес сайта, который отдает данные в формате JSON. Так как меня интересовал в первую очередь конкретный маршрут трамвая, то я получил вот такой вот адрес:

https://mu-kgt.ru/informing/wap/marsh/?m=6%F2%F0&action=getMarshData

Что здесь интересного?

m=6%F2%F0 — номер маршрута и обозначение типа транспорта. В данном случае часть «%F2%F0» — это всего лишь русские буквы «тр», то есть трамвай. Для троллейбуса это будет просто «т» или «%F2», для автобуса это либо «а», либо вообще без буквы — если честно, не пробовал, да и лень было.
action=getMarshData — вызывает одноименную функцию в скрипте.
Переходим в Home Assistant. Здесь я создал новый сенсор в configuration.yaml такого вида:

sensor:
  - platform: rest
    resource: https://mu-kgt.ru/informing/wap/marsh/?m=6%F2%F0&action=getMarshData
    name: Трамвай 6 прибытие
    unique_id: tram6_arrival
    value_template: "{{ value_json.ts_line.A[-1].st_arrive }}"
    scan_interval: 120

Самое важное здесь — value_template, в котором содержится путь до нужной остановки, по которой получаем информацию о времени прибытия. Буквой «А» закодировано направление движения транспорта, которое вы видите в левой части экрана, а буквой «В» — в правой части экрана.

Такие же буквы присутствуют на самом сайте и в приложении.

Я сделал два сенсора: прибытие и убытие, чтобы ориентироваться когда придет следующий трамвай на конечную остановку. Можно оформить и получше, но это — не главное.

Вид сенсоров в Home Assistant

Ах да, чуть не забыл. Как посмотреть номер нужной остановки? Открываем страницу по ссылке, выбираем тип транспорта, маршрут и направление движения. Затем щелкаем на нужной остановке, чтобы открыть прогноз движения транспорта. Среди прочей информации будет строка вида:

Остановка: Детский кинотеатр «Мечта» (код 336)

В скобках мы и увидим код остановки. В данных, которые нам отдает скрипт по запросу, это код содержится в поле st_regnum.

И еще небольшое дополнение. Значения «0» и «-1», конечно, хороши для выбора конечных остановок при условии, что мы не знаем количество остановок на маршруте, который может измениться, например, из-за ремонта дороги или аварии. Следующий шаблон выбирает остановку с заданным кодом:

value_template: >-
  {% set stops = value_json.ts_line.A %}
  {% for stop in stops %}
    {% if stop.st_regnum == 1989 %} {{ stop.st_arrive }} {% endif %}
  {% endfor %}

Обновлено. Автобусы маркируются без буквы в URL, только номер маршрута.

Зеркало NOD

Tue, 19 Feb 2019 14:36:37 +0700

Немного прошелся по своему зеркалу, «причесал», подправил недочеты. Сделал страницу регистрации, ибо негоже когда человеку приходится писать тебе, чтобы получить доступ к нему. Сейчас можно просто открыть страницу регистрации, ввести свой email, который будет являться логином и после нажатия кнопки «Отправить» скрипт сохранит данные на сервере и отправит их копию пользователю на указанную электронную почту.
Поначалу хотел использовать команду системы для генерации хэша пароля, но оказалось, что последний генерируется неправильно. На счастье в интернете нашелся PHP-код, который выполняет те же самые действия, но уже правильно.
Потом хотел сделать чтобы все страницы сайта располагались в одном файле, но что-то пошло не так и я отказался от этой затеи. Не настолько я знаю PHP и JS, чтобы отлавливать и исправлять ошибки в коде.
В конце страницы появилась небольшая статистика: сколько всего зарегистрировано пользователей, сколько в этом месяце использовало зеркало и сколько человек сейчас находится на сайте. Любопытно, что зарегистрировалось около 50 человек, а используют примерно 30. Где остальные? Судя по журналам, они даже не пытались скачивать обновления. По этому поводу мелькает мысль примерно раз в полгода удалять тех, кто ни разу не обновлялся с зеркала. Или уже оставить как есть?

Биометрическая авторизация

Thu, 12 Apr 2018 09:30:42 +0700

Несколько дней назад наткнулся на новость, которая показалась мне очень интересной. Сегодня утром нашел более доступный ее текст.

«Консорциум W3C (World Wide Web Consortium, Консорциум Всемирной паутины) и альянс FIDO (Fast IDentity Online) начали работу над Web Authentication (WebAuthn) еще в 2015 году. Напомню, что в частности данный API позволяет пользователям входить в Google, Facebook, Dropbox, GitHub и так далее при помощи аппаратных ключей YubiKey.

На базе FIDO 2.0 Web API был разработан WebAuthn, который обладает более широкими возможностями и в теории позволяет отказаться от использования паролей вообще. Так, WebAuthn предлагает использовать для аутентификации на сайтах и в приложениях аппаратные ключи, отпечатки пальцев, распознавание лиц, сканы радужной оболочки глаза и прочую биометрию.

Своеобразным „компаньоном“ WebAuthn станет протокол Client to Authenticator (Client to Authenticator Protocol, CTAP). Как следует из названия, основная роль CTAP — это установление связи между браузером и сторонней системой аутентификации, к примеру, NFC или USB-ключом, сканером отпечатков пальцев в смартфоне или ноутбуке. Специалисты W3C объясняют, что для обеспечения работоспособности новой аутентификационной схемы оба API должны работать сообща.

Так как Google, Microsoft и Mozilla поддержат разработку, ожидается, что поддержка WebAuthn API появится в Chrome, Edge и Firefox в самом скором времени. Так, WebAuthn заработает в Chrome 67 и Firefox 60, чей релиз запланирован примерно на май 2018 года.

Ожидается, что эта разработка поможет защитить пользователей от фишинга, краж паролей и даже атак типа „человек по середине“ (man-in-the-middle). Ведь ИБ-специалисты давно пришли к выводу, что использование паролей вряд ли можно назвать хорошей практикой.»

Не более пары недель назад вспоминал про приложение для смартфона, в отзывах для которого попросил разработчиков добавить авторизацию по отпечатку пальца. Они признали, что имея хороша и даже внедрили функцию в очередное обновление. К сожалению, пока что она не работает.
Но разговор не об этой программе. Тогда же у меня мелькнула мысль, что неплохо было бы и на других ресурсах использовать отпечаток пальца. Хотел поинтересоваться стоимостью сканера для этих целей, но потом закрутился в череде дел и благополучно забыл об этом. Вспомнил только сейчас, когда читал вышеуказанную новость.
Что я могу сказать? Ждем новое поколение программ, которые будут воровать ваши личные данные и связывать их с вашими биометрическими данными. Очень неплохой способ сбора подобной информации, затраты на который минимальны, по сравнению с другими способами.

У тебя нет шансов!

Mon, 02 Oct 2017 10:55:02 +0700

Сижу я, значит, на выходных дома, думаю чем бы заняться. Тут приходит уведомление на email, что начислен мне налог за квартиру. «О!» — думаю, — «точно! Надо за хату заплатить!» Решил начать с налога.
Захожу в личный кабинет, выбираю строчку с текущими начислениями, жму «Оплатить». Открывается страница с выбором банков, через которые я могу провести оплату. Жму Сбер, сайт мне отвечает ошибкой. «Плять» — подумалось мне, ибо текст ошибки не оставлял мне никакого шанса на оплату. Вернулся на предыдущую страницу, выбрал ради интереса пункт «Госуслуги». «Хер тебе!» — ответил сайт, выдав ту же самую ошибку. Другие банки ответили так же. Опечалившись, пришлось сдаться и накатать жалобу в техподдержку налоговой.
Ну что же, попробуем оплатить коммунальные услуги. Начал с мобильного приложения на телефоне, потому что ушел курить. Выбрал ранее созданный шаблон, ввел сумму, кучу раз нажал кнопку «Продолжить», каждый раз проверяя что все верно и плачу я за себя. После очередного «продолжения» приложение мне выдало забавное сообщение: «Сумма такая-то не совпадает с сумой оплаты». Текст не точный, но смысл заключался в том, что рассчитанная сумма для оплаты не совпадает с суммой, которую я хочу внести на счет. Интересненько... Продолжаю уже на компьютере через «Сбербанк Онлайн» (я быстро курю). Получаю ту же самую ошибку. В общем, заплатить за квартиру мне не удалось. «Суки!» — вертелось у меня в голове. Подумав несколько секунд, открываю сайт УК, вхожу в личный кабинет. Выбираю оплату по карте, вписываю сумму оплаты, меня перебрасывает на страницу банка. Комиссия составила 1% от общей суммы. Да наплевать, ввожу код из СМС и продолжаю. Деньги улетели на первой космической, о чем телефон радостно мне сообщил. Да лучше бы они с такой же скоростью прилетали! :-)
Оплата элетроэнергии прошла без сучка и задоринки, как и телефон и интернета.

И снова про зеркало NOD32

Mon, 18 Sep 2017 00:21:51 +0700

Обновил страницу зеркала, сделал ее почти полностью на базе bootstrap. Остались кое-какие нюансы, от которых планирую избавиться чуть позже.Если вкратце, то добавить немного интерактивности. Пока что мешает, в основном, таблица, генерируемая скриптом обновления. С одной стороны, скрипт отдает «чистую» таблицу, которую я могу использовать на сайте. С другой я бы и рад заменить некоторый текст в этой таблице, но... При очередной проверке скрипт заменяет измененные файлы на оригинальные и я получаю тот же самый текст, который хотел заменить. CSS в этом деле мне не помощник, буду искать другие пути.
Заодно, пока редактировал страницу, нашел несколько решений, которых мне не хватало для смены темы оформления блога на bootstrap.

Upd. Замена текста решилась одной строкой:

document.body.innerHTML = document.body.innerHTML.replace('ESET NOD32 сервер обновления', 'Информация о последнем обновлении');

Скрипт передачи данных на сервер narodmon.ru

Fri, 23 Jun 2017 14:44:41 +0700

Как и писал ранее, в какой-то момент надоело, что роутер периодически не может отправить данные на сервер, поэтому пришлось немного подредактировать его. После недельного тестирования отправил его администрации ресурса и, после некоторых уточнений, он был добавлен на сайт. Сейчас он находится в разделе «Справка» — «OpenWRT, OR-WRT» — «6. Скрипт для отправки показаний с отказоустойчивостью». Сам скрипт был размещен на github. Было добавлено краткое описание работы и кусок журнала его работы, из которого видно как он накапливает данные во время отсутствия связи с сервером, а затем, когда она появляется вновь, отправляет все недоставленные пакеты.
Самый «интересный» на мой взгляд момент состоит в том, что в моих планах заменить текущий датчик температуры на другие, которые будут передавать данные через домашний WiFi, что, в свою очередь, означает, что я не смогу воспользоваться пакетом owfs и скрипт будет бесполезен для меня. Хотя возможно, что я оставлю этот датчик в качестве «контрольной группы».

Интересный сайт

Thu, 02 Feb 2017 12:31:25 +0700

Сайт, за который мне было бы очень стыдно

Нахожусь в поисках кронштейна для своей видеокамеры. Вчера по электронной почте отправил в несколько фирм города письмо с вопросом о наличии кронштейна. Кто-то ответил, кто-то промолчал — нормальная ситуация. В одном из писем мне посоветовали обратиться в магазин «Искра». Пришлось залезть в 2ГИС, чтобы найти его. По итогу не нашел, но в процессе наткнулся на один любопытный сайт. Начав просматривать его, поначалу удивлялся тому, сколько можно сделать ошибок. Причем на главной странице сайта. Но это было только начало.
В одном из разделов наткнулся на текст. Читая его я не мог отделаться от ощущения, что я попал на сайт АлиЭкспресс. Нет, буквы были знакомые, слова тоже, но смысл предложений от меня ускользал:

Секретный соус за 16 Тб SSD от Samsung является новым 256Gbit (32 Гб) NAND флэш-штамп компании; в два раза превышает мощность 128Gbit NAND умирает, которые были коммерциализированы различными производителями чипов в прошлом году.

Были и такие, что все понятно, но... Ребята из фирмы явно стараются выбить побольше денег из клиента, совершая ненужную работу и создавая видимость серьезности ремонта:

Прошивка Bios
Нужна, если агрегат все чаще зависает, долго грузится. Специалист сделает его прошивку недорого, а именно:

— разберет ноутбук;

— отпаяет микросхему bios;

— выполнит ремонтные работы;

— соберет устройство.

Прошивка Bios, входящая в ремонт ноутбуков, цены на которую уточняются индивидуально, иногда полностью решает проблему неисправности.

Всего 10 страниц сайта, по мои прикидкам, содержат не менее 1000 ошибок и опечаток. Если бы я был человеком менее грамотным, то хотя бы сделал проверку в том же MS Word или любом другом текстовом редакторе с проверкой орфографии.
Иногда возникало впечатление, что я читаю статью какого-то новичка на ЯПе — настолько становилось забавно или смешно. Но, по большей части, сайт вызывал полное нежелание пользоваться услугами данной фирмы. Допускаю, что, возможно, сайт делали работники фирмы, не знакомые с языком HTML и не имеющие никакого опыта в создании сайтов. Но что им помешало попросить кого-нибудь из знакомых сделать его? Более, чем уверен, что такой знакомый нашелся бы в их окружении.
Ну и напоследок фраза из шапки данного сайта:

Лучшая реклама любого товара — его качество.

Сайт «Сибмаш»

Thu, 22 Dec 2016 11:05:52 +0700

Доделал некоторое время назад сайта для «Сибмаша». Все страницы написаны, так сказать, от руки, кода очень мало. Сильно в этом помог Bootstrap, который позволяет, написав буквально пару слов, добавить, например, выпадающее меню в заголовок. Или переключение вкладок.
На страницу с контактными данными вписал немного измененный виджет 2GIS. Не стал заморачиваться и встраивать полноценный — мне он кажется достаточно уродским.
После завершения работы начал, как обычно, «вылизывать» код: минимизировать, ускорять, экспериментировать. Что-то работало, что-то — нет. Потом надоело, больше ничего придумать не смог. Остался только один «косяк», который поправить не получается — иногда переключение закладок происходит слишком быстро. После обновления страницы это исправляется. Почему так происходит — непонятно. Встроил информацию о фирме в тело страницы — это для поисковиков. Добавил ее же в справочник фирм Яндекса.
На этом пока что все. Когда отдадут следующую порцию информации — будем добавлять её.
По сравнению с предыдущей версией сайта, то, что получилось — небо и земля.

Защита сайта при помощи HTTP Public Key Pinning (HPKP)

Tue, 16 Aug 2016 22:24:24 +0700

Данная технология призвана защитить посетителя вашего сайта от атаки типа MITM (Man in the middle, человек посередине). Иными словами посетитель может быть уверен, что данные, которые он получает, исходят с вашего сайта, а не с какого-то другого.

Суть технологии состоит в создании публичного ключа на основе сертификата, который установлен на вашем сайте. Соответственно, чтобы она работала, требуется валидный сертификат. Впрочем, она будет работать и на самоподписанных (self-signed) сертификатах. Полученный на основе вашего сертификата ключ добавляется в заголовок ответа вашего сервера, после чего браузер сравнивает полученный ключ с тем, который он вычисляет после получения данных о вашем сертификате.

Итак, что нам требуется:

Какой-либо установленный для сайта сертификат.
Консоль для получения публичного ключа.

Кстати, не так давно для нормального функционирования этой технологии требовался всего лишь один ключ, сейчас же нужно указывать два или более ключей. На мой взгляд двух будет достаточно, от этого и будем отталкиваться. Второй ключ является «резервным», этот момент я не совсем понимаю, но не будем отступать от требований.

Действовал я по следующей схеме:

— получаем сертификат на сайте Let’s Encrypt для двух сайтов: example.com и www.example.com;
— так как я использую вариант без www, то ключ, полученный на базе первого будет основным, на базе второго — резервным;
— генерируем ключи для обоих сертификатов;
— добавляем нужные инструкции в файл /etc/httpd2/conf/sites-available/default-http.conf.

О получении сертификата рассказывать не буду, достаточно почитать главную страницу сайта. Допустим, вы его получили и установили на свой сайт. Теперь требуется создать ключи при помощи следующей команды:

openssl x509 -noout -in certificate.pem -pubkey | openssl rsa -pubin -outform der | \

openssl dgst -sha256 -binary | base64

где certificate.pem — полный путь к сертфикату.

После выполнения команды вы получите нечто подобное:

LPJNul+wow4m6DsqxbninhsWHlwfp0JecwQzYpOLmCQ=

Это и есть нужный вам ключ. Повторяем команду для второго сертификата и добавляем данные в файл конфигурации сайта:

Header set Public-Key-Pins "pin-sha256=\"pin1\"; pin-sha256=\"pin2\"; max-age=time"

где:

pin1 — основной ключ для данного сайта. В моем случае example.com;
pin2 — резервный ключ для сайта. То есть www.example.com;
time — время действия ключа в секундах.

Опциональный параметр includeSubDomains указывает на то, что ключи действительны также для поддоменов. Еще один необязательный параметр report-uri указывает на адрес, куда должны отправляться отчеты об ошибках в формате JSON. Его я, возможно, добавлю на сайт, но пока что считаю его ненужным для себя.

Какие тут есть нюансы? Если вы неправильно настроите HPKP, ваш сайт станет недоступен. Можно также настроить отправку отчетов в случае каких-либо ошибок. Для этого немного меняем заголовок (или просто добавляем еще одной строкой):

Header set Public-Key-Pins-Report-Only "pin-sha256=\"pin1\"; pin-sha256=\"pin2\"; max-age=time"

Внедрение HTTP Strict Transport Security (HSTS) на свой сайт

Tue, 16 Aug 2016 11:56:05 +0700

Сначала небольшая выдержка из википедии:

«HSTS (сокр. от англ. HTTP Strict Transport Security) — механизм, активирующий форсированное защищённое соединение через протокол HTTPS. Данная политика безопасности позволяет сразу же устанавливать безопасное соединение, вместо использования HTTP-протокола. Механизм использует особый заголовок Strict-Transport-Security для принудительного использования браузером протокола HTTPS даже в случае перехода по ссылкам с явным указанием протокола HTTP. Механизм специфицирован в RFC6797 в ноябре 2012 года.

HSTS помогает предотвратить часть атак, направленных на перехват соединения между пользователем и веб-сайтом, в частности атаку с понижением степени защиты и воровство кук.

Дополнительную защиту https-соединений предоставляют методы Certificate pinning (хранение списка разрешенных для домена сертификатов или CA в исходных текстах браузера) и HTTP Public Key Pinning (англ.). Они предотвращают множество возможностей подмены tls-сертификатов https-сервера.»

Для внедрения этой технологии нам понадобится несколько вещей:

Наличие валидного сертификата (можно бесплатно получить на сайте Let’s Encrypt)
Уверенность в том, что будет использоваться только https протокол, включая все ваши субдомены.
Полное перенаправление с http-версий сайтов на https.

Если что-то из этого по каким-то причинам вам не подходит, то эта технология вам не нужна.

Так как у меня используется «старенький» Apache версии 2.2, то и настраивать, соответственно, мы будет его. Для включения HSTS нам нужно добавить в файл /etc/httpd2/conf/sites-available/default_https.conf следующие строки:

<IfModule ssl_module>
    <VirtualHost *:443>
        Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
   </VirtualHost>
</IfModule>

Первые и последние две строки — стандартные для данного файла, если они имеются, то добавлять их не нужно. Нас больше всего интересует третья строчка.

Инструкция Header set позволяет вставить заголовок в ответ сервера. В данном случае заголовок «Strict-Transport-Security». В скобках за ним расположены параметры этого заголовка:

max-age — время в секундах, которое будет действовать этот заголовок. Если быть точнее, то это время, в течение которого сайт будет доступен по протоколу HTTPS. Не рекомендуется устанавливать его менее 18 недель;

includeSubDomains — указывается, если действие заголовка распространяется также на поддомены. Не является обязательным;

preload — параметр, позволяющий указывать, что ваш сайт никогда не будет доступен по незащищенному протоколу. Не является обязательным. Про него будет чуть ниже.

Итак, данные мы добавили, теперь нужно перезагрузить файлы конфигурации:

# service httpd2 condreload

Наличие заголовка в ответе сервера можно проверить, например, на этом сайте. Среди прочих вы должны увидеть такую строчку:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Идем на сайт ssllabs, вводим адрес своего сайта с указанием https и тестируем, что у нас получилось. Тест занимает некоторое время, его вполне хватит на то, чтобы, например, налить себе чашечку кофе.

По итогу мы должны увидеть такие строчки:

Эту строчку вы увидите в шапке отчета

Эта будет находиться ближе к концу отчета

Если вы их видите, значит все в порядке. В противном случае ищите ошибку.

И, наконец, про параметр preload. Существует так называемый «preload list», в котором перечислены все домены, использующие технологию HSTS. Своего рода список «избранных» :-) При желании вы можете подать заявку на включение вашего домена в этот список, но на скорый ответ не рассчитывайте. Список обновляется с выпуском каждой версии браузера Chrome, поэтому может пройти несколько месяцев, прежде, чем вы увидите, что ваш домен добавлен в него. Для подачи заявки нужно выполнить несколько требований, указанных на главной странице сайта, поэтому рекомендую прочитать ее внимательно. Значение имеет даже регистр параметров заголовка. В случае критической ошибки после нажатия на кнопку «Check status and eligibility» фон страницы станет красным, в случае некритической — желтым, если же все верно — зеленым. На этой же странице указано, что нужно делать, чтобы удалить свой домен из этого списка.

В принципе, это все, что вам нужно знать об этой технологии защиты вашего сайта. Надеюсь, что этот текст вам помог.