«У нас редирект с HTTP на HTTPS». Есть клиенты, для которых этого мало

Автор статьи анализирует распространенную практику обеспечения безопасности веб-сервисов через редирект с HTTP на HTTPS. В ходе аудита выяснилось, что простого перенаправления недостаточно, так как первоначальный HTTP-запрос уже содержит конфиденциальные данные, включая параметры пути и заголовки Cookie, которые передаются в открытом виде до получения кода 301. Автор призывает разработчиков пересмотреть подход к защите трафика, учитывая, что современные клиенты и автоматизированные системы могут непреднамеренно раскрывать чувствительную информацию при попытке соединения по небезопасному протоколу. В статье подробно разбираются сценарии, при которых подобные редиректы создают уязвимости, и предлагаются более надежные методы обеспечения безопасности, такие как использование HSTS (HTTP Strict Transport Security), чтобы исключить возможность отправки запросов по HTTP в принципе.