Il me semble que si un site donne l'indication hsts, alors le navigateur doit vérifier la chaine de certificat complète avec son magasin de certificats racines.
Du coup, quand un site avec hsts actif se retrouve avec un certificat auto signé (ou sur le mauvais domaine), alors l'utilisateur doit voir son accès refusé et il ne peut pas faire d'exception manuelle.
Je ne suis pas sûr que ce comportement est obligatoire, mais c'est bien ce que j'ai vu avec Firefox.
[^] # Re: regardes ton certificat
Posté par Adrien Dorsaz (site web personnel, Mastodon) . En réponse au message SQUID/SQUIDGUARD HTTP Strict Transport Security (HSTS). Évalué à 2.
Il me semble que si un site donne l'indication hsts, alors le navigateur doit vérifier la chaine de certificat complète avec son magasin de certificats racines.
Du coup, quand un site avec hsts actif se retrouve avec un certificat auto signé (ou sur le mauvais domaine), alors l'utilisateur doit voir son accès refusé et il ne peut pas faire d'exception manuelle.
Je ne suis pas sûr que ce comportement est obligatoire, mais c'est bien ce que j'ai vu avec Firefox.