Пиннинг с открытым ключом ничего не блокирует
Я пытаюсь реализовать функцию "Закрепление с открытым ключом" на своем сервере IIS, но даже если я ввожу неправильный хэш, страница все еще доступна без каких-либо ошибок (протестировано в Google Chrome)
Заголовок как следовать
Public-Key-Pins:
max-age=90;
pin-sha256="[Hash]"
Я знаю, что иметь значение "max-age" равным 90 не имеет смысла, но я только проверяю поведение заголовка.
Я использовал https://report-uri.io/home/pkp_hash для генерации хэша и использовал Root Certification Authority.
Вот как я пытался сделать мой сайт недоступным для тех, у кого неправильный пин-код
- Настройте заголовок с "максимальным возрастом" 90 секунд
- Перейдите на веб-сайт в Google Chrome
- Модифицируйте pin-sha256 заголовка, чтобы поставить один недействительный (заменяя одну букву)
- Закрытие Google Chrome
- Вернитесь на мой веб-сайт
Я думал, что у меня будет "ошибка неверного пин-кода" (я сделал это за 90 секунд), но ничего не произошло
Что я делаю неправильно?