Игнорировать HSTS в браузере для поддомена

[скопировано из https://stackoverflow.com/questions/39937837/]

Я настроил свой DNS на точку local.example.com до 127.0.0.1. Это сделано для того, чтобы я мог обмениваться файлами cookie между действующим сайтом и моей средой разработки.

Когда HSTS активирован на действующем сайте, мой браузер автоматически пытается получить доступ к локальному сайту по адресу https://local.example.com/ который не работает, поскольку мой сервер разработки не поддерживает SSL (я пробовал обслуживать порт 443).

Есть ли способ указать моему браузеру (Chromium) игнорировать HSTS?

(Из того, что я читал, includeSubDomains очень важно избежать атак с захватом файлов cookie - в основном я хочу включить исключение поддомена только для себя).

Я не совсем уверен, поможет ли это в вашей конкретной ситуации (и вы знаете об этом «решении»), но один из возможных способов - очистить кеш HSTS браузера. Возможно, это также можно сопоставить со специальной клавишей (комбинацией), что упростит ее вызов.

Вот как это сделать с Chromium:

Закройте все открытые вкладки, относящиеся к странице, на которой возникла проблема.
В новом типе вкладок chrome://net-internals/#hsts.
Найдите заголовок раздела «Домен запроса», введите домен, в котором возникла проблема, в текстовое поле рядом с «Домен:» и нажмите кнопку с надписью Запрос.
Все домены, которые отображаются под полем поискового запроса, необходимо удалить.
Найдите заголовок раздела «Удалить домен», введите домен, в котором возникла проблема, в текстовое поле рядом с «Домен:» и нажмите кнопку с надписью Удалить.
Повторите шаги с 3 по 5, пока результаты запроса на шаге 3 не покажут «Не найден».
Закройте браузер, а затем снова откройте его, теперь ваша проблема должна быть решена.

Дополнительное примечание: это работает, только если ваш домен не является частью Список предзагруженных HSTS.

Нет, добавить исключение невозможно. Но HSTS только заявляет, что должен быть действительный сертификат, ничего не о том, какой это сертификат (для этого есть заголовок HPKP), поэтому вы можете создать свой собственный самоподписанный сертификат, импортировать его в Chrome как доверенный сертификат, и HSTS будет хорошо работать даже на локальном хосте .