哪个浏览器使用哪个HSTS预加载列表？

Question

我一直在使用HSTS预加载列表阅读有关Google和Firefox的各种信息.

• 似乎这里有一个通用列表:https://hstspreload.org/
• 并且Chrome使用Chromium中的那个:https: //www.chromium.org/hsts/
• 和Firefox在这里使用:https: //dxr.mozilla.org/comm-central/source/mozilla/security/manager/ssl/nsSTSPreloadList.inc

Safari或Opera是否使用HSTS预加载列表？哪一个 ？上面引用的3个列表之间有什么关系？

谢谢

Answer 1

HSTS的事实中央主列表由Chromium/Google管理,网址为https://chromium.googlesource.com/chromium/src/net/+/master/http/transport_security_state_static.json.

可以在维基百科上找到支持HSTS(并且可能具有预加载列表)的浏览器列表.作为封闭源,有关Opera,Safari,IE等处理其预加载列表的信息似乎不可用.

Microsoft Edge团队在他们的博客中说明了这一点

与已实现此功能的其他浏览器一样,Microsoft Edge和Internet Explorer 11将其预加载列表基于Chromium HSTS预加载列表.

对于Firefox,/ source/mozilla/security/manager/sssl/nsSTSPreloadList.inc中的列表由文件/source/mozilla/security/manager/tools/getHSTSPreloadList.js生成 ,我们可以从该行中看到

const SOURCE = "https://chromium.googlesource.com/chromium/src/net/+/master/http/transport_security_state_static.json?format=TEXT";

它只是"主列表"的克隆,解析为Firefox格式.它所做的就是为列表中的每个域提供额外的验证运行,并具有所需的HSTS标头(通过连接到它;它似乎每天从vcs日志开始).

Palemoon 遵循此过程,很可能其他浏览器供应商也这样做.因此,您的列表之间的关系似乎是:只有一个.