Insecure Transport: Insufficient HSTS Expiration Time

La aplicación define encabezados de seguridad de transporte estricta de HTTP (HSTS) con un tiempo de vencimiento insuficiente. Esto permite que los atacantes reemplacen las conexiones HTTPS por conexiones HTTP simples y roben información confidencial mediante ataques de extracción de HTTPS.

Un ataque de extracción de HTTPS es un tipo de ataque "man-in-the-middle" donde el atacante observa todo el tráfico HTTP en busca de los encabezados de ubicación y los vínculos que hacen referencia a HTTPS, y los reemplaza por versiones HTTP. El atacante conserva una lista de todas las sustituciones de HTTP realizadas para poder devolver la solicitud HTTPS al servidor. Todas las conexiones HTTP extraídas se conectan a través de un proxy con el servidor mediante HTTPS. Todo el tráfico entre la víctima y el atacante se envía a través de HTTP, por lo que se revelan nombres de usuario, contraseñas y otros datos privados, pero el servidor sigue recibiendo el tráfico HTTPS esperado del atacante para que nada parezca incorrecto.

La seguridad de transporte estricta de HTTP (HSTS) es un encabezado de seguridad que indica al explorador que siempre se conecte al sitio que devuelve los encabezados HSTS a través de SSL/TLS durante un período especificado dentro del encabezado. Cualquier conexión con el servidor mediante HTTP se reemplazará automáticamente por una HTTPS, incluso si el usuario escribe una URL con http:// en la barra de dirección URL del explorador.

Ejemplo 1: El siguiente código configura una aplicación protegida con Spring Security para utilizar un tiempo de vencimiento breve:

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        ...
        http.headers(headers ->
                headers.httpStrictTransportSecurity(hstsConfig ->
                    hstsConfig.maxAgeInSeconds(300)
                )
            );
        ...
    }