随便说说

建议停止部署 HPKP

广告公司去年表示要停止支持。2018年2月2日，哔哩萌正式停止部署 HPKP。 一般来说部署时设置的过期时间都较长，比如我，设置的是 2592000 秒/30 天，就算你打算停止部署，但浏览器还是拒绝。很显然，浏览器缓存了相关信息。

Yukee

• 1 min read

广告公司去年表示要停止支持。2018年2月2日，哔哩萌正式停止部署 HPKP。

一般来说部署时设置的过期时间都较长，比如我，设置的是 2592000 秒/30 天，就算你打算停止部署，但浏览器还是拒绝。很显然，浏览器缓存了相关信息。

怎么办呢，以 Firefox 为例只能去配置文件夹（about:profiles）下删除 SiteSecurityServiceState.txt 。但是，你不可能去要求网站所有访客都去手动删除。

如何彻底摆脱 HPKP

  1. 继续使用与 HPKP 相符的 SSL 证书，论多个 Pin-Sha256 的重要性。
  2. 修改 nginx 配置 max-age 为 0 。
  3. 等待 max-age 过期，彻底移除。