Заголовок ответа Expect-CT позволяет сайтам включить отправку отчётов и/или применение требований прозрачности сертификатов. Прозрачность сертификатов (CT) призвана предотвратить незаметное использование неправильно выданных сертификатов для этого сайта.

Реализовали Expect-CT только Google Chrome и другие браузеры на основе Chromium, а начиная с версии 107 Chromium отказался от этого заголовка, поскольку теперь Chromium применяет требования CT по умолчанию. См. обновление на странице статуса платформы Chrome.

Требования CT можно выполнить с помощью любого из следующих механизмов:

• Расширение сертификата X.509v3, позволяющее встраивать метки времени сертификата с цифровой подписью, выданные отдельными журналами. Большинство сертификатов TLS, выданных общедоверенными центрами сертификации и используемых в интернете, содержат встроенные данные CT.
• Расширение TLS типа signed_certificate_timestamp, отправляемое во время рукопожатия
• Поддержка OCSP stapling (то есть расширения TLS status_request) и предоставление SignedCertificateTimestampList

Синтаксис

Expect-CT: report-uri="<uri>",
           enforce,
           max-age=<age>

Директивы

max-age

Количество секунд после получения поля заголовка Expect-CT, в течение которых пользовательский агент должен считать хост полученного сообщения известным хостом Expect-CT.

Если кэш получает значение, которое не может представить, или если при последующих вычислениях происходит переполнение, кэш будет считать, что это значение равно 2 147 483 648 (2^31) или наибольшему положительному целому числу, которое он может представить.

report-uri="<uri>" Необязательно

URI, на который пользовательский агент должен отправлять отчёты об ошибках Expect-CT.

Если эта директива указана вместе с директивой enforce, такая конфигурация называется конфигурацией «применение требований и отправка отчётов». Это сообщает пользовательскому агенту, что необходимо и применять политику прозрачности сертификатов, и отправлять отчёты о нарушениях.

enforce Необязательно

Сообщает пользовательскому агенту, что необходимо применять политику прозрачности сертификатов (а не только отправлять отчёты о её соблюдении) и что пользовательский агент должен отклонять будущие соединения, нарушающие эту политику.

Если указаны директивы enforce и report-uri, такая конфигурация называется конфигурацией «применение требований и отправка отчётов». Это сообщает пользовательскому агенту, что необходимо применять политику прозрачности сертификатов и отправлять отчёты о нарушениях.

Пример

В следующем примере указано, что требования прозрачности сертификатов должны применяться в течение 24 часов, а отчёты о нарушениях отправляться на foo.example.com.

Expect-CT: max-age=86400, enforce, report-uri="https://foo.example.com/report"

Примечания

Корневые центры сертификации, вручную добавленные в хранилище доверенных сертификатов, переопределяют и подавляют отчёты/применение требований Expect-CT.

Браузеры не будут запоминать политику Expect-CT, если сайт не «доказал», что может предоставлять сертификат, соответствующий требованиям прозрачности сертификатов. Браузеры используют собственные модели доверия, определяющие, какие журналы CT считаются доверенными для регистрации сертификата.

Сборки Chrome настроены на прекращение применения политики Expect-CT через 10 недель после даты сборки установленной версии.

Спецификации

Совместимость с браузерами

См. также

• Безопасные контексты
• Термины глоссария:
  • Безопасность транспортного уровня (TLS)
  • Уровень защищённых сокетов (SSL)
  • HTTPS