HSTS 标头会导致 CNAME 记录出现问题吗？

Question

几年来，我在我的个人域上使用了 SSL：https : //juriansluiman.nl。现在我使用子域来访问我的 Google Apps：邮件、日历等。所有这些子域都是使用Google 推荐的 CNAME 方法配置的。这在我开始使用 HTTPS 之前和之后都有效。

几个月前，我开始在我的域中添加 HSTS 标头。在那段时间里，我也开始注意到我无法再使用子域访问我的 Google 页面。

示例：http : //mail.juriansluiman.nl或https://mail.juriansluiman.nl

我所有的浏览器都给我一个连接错误。像 web-sniffer.net 这样的工具向我返回消息“获取 URL 时出错”。有谁知道具体的问题可能是什么？

Answer 1

它与CNAME记录本身无关。

然而：

该谷歌Apps服务没有有效证件你mail.example.com，calendar.example.com等名称。
因此，他们只处理此类名称的 HTTP（他们只是重定向到*.google.com相关服务的适当HTTPS url）。

因此，我非常有信心您的https://mail.juriansluiman.nl/示例从未奏效。

但是，http: //mail.juriansluiman.nl/ 可能在您添加 HSTS 标头之前就可以使用了。

您似乎只为某些请求发送 HSTS 标头（我假设您尝试恢复配置？）但对于 favicon.ico，您发送了以下内容：

Strict-Transport-Security: max-age=31536000; includeSubdomains
Strict-Transport-Security: max-age=63072000

其中includeSubDomains强制对所有子域使用 HTTPS，除了响应中包含此标头的请求的名称。

我不确定您为什么发送两个 HSTS 标头，但浏览器似乎将第一个标头与 includeSubdomains 一起使用。