HTTP Strict Transport Security (HSTS), Azure и HTTP Strict Transport Security IIS Module

Вопрос: Как правильно установить и настроить HTTP Strict Transport Security (HSTS) на веб-сайте Azure?

По-видимому, для IIS можно использовать метод установки этого модуля: http://hstsiis.codeplex.com/

Проблема в том, что, согласно документации, вам нужно установить несколько .dll в разные места (HSTS-IIS-Module-2.0.0.msi). К сожалению, это невозможно в среде веб-сайта Azure (как установить модуль IIS на веб-сайт Azure?)? Использование виртуальной машины, вероятно, сработает, но мой вопрос нацелен на обычный веб-сайт / веб-приложение Azure (приложение ASP.NET MVC 5).

ОБНОВИТЬ:

Если вы используете ASP.NET, вы хотите установить NWebsec. Это позволит вам настроить HSTS, а также Content-Security-Policy и другие заголовки, связанные с Проект безопасных заголовков OWASP.

Это решение было освещено Скоттом Хансельманом в его блоге (источник внизу ответа).

По сути, HSTS - это просто HTTP-заголовок. Но вы хотите отправить его только тогда, когда находитесь в HTTPS. Затем это заблокирует ваш сайт в HTTPS для max-age указано.

Вот что должно быть в web.config вашего приложения:

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <rule name="HTTP to HTTPS redirect" stopProcessing="true">
                    <match url="(.*)" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
                        redirectType="Permanent" />
                </rule>
            </rules>
            <outboundRules>
                <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
                    <match serverVariable="RESPONSE_Strict_Transport_Security"
                        pattern=".*" />
                    <conditions>
                        <add input="{HTTPS}" pattern="on" ignoreCase="true" />
                    </conditions>
                    <action type="Rewrite" value="max-age=31536000" />
                </rule>
            </outboundRules>
        </rewrite>
    </system.webServer>
</configuration>

Источник