HSTS non ti impedisce di usare un proxy SOCKS

HSTS non richiede una connessione diretta. HTTPS può funzionare tramite SOCKS con il suo normale TLS e la verifica del certificato; HSTS indica al browser di usare HTTPS per l'host e di gestire rigorosamente gli errori dei certificati.

Se il browser segnala un errore di connessione SOCKS, controlla prima la versione SOCKS selezionata, la capacità del proxy di raggiungere la porta HTTPS di destinazione e dove viene risolto il DNS di destinazione. Una negoziazione fallita o una connessione di destinazione rifiutata avviene prima che il certificato del sito possa essere valutato.

Un errore del certificato dopo l'apertura della connessione è una fase diversa. HSTS può impedire di aggirare quell'errore, ma non ha causato il fallimento della precedente negoziazione SOCKS. Confronta il nome host del sito e la catena di fiducia invece di disattivare la politica HTTPS per compensare un problema di trasporto.

SOCKS di per sé non trasforma il percorso in intercettazione TLS. Un proxy non attendibile può scartare o instradare male il traffico, mentre un TLS valido end-to-end serve a rilevare l'impersonificazione. Installare un nuovo certificato radice cambia quella disposizione di fiducia e non è una correzione ordinaria per HSTS. Quando un sito funziona e un altro fallisce, confronta le loro effettive fasi di connessione e i requisiti di destinazione. Per un confronto consentito tramite un endpoint pubblico, l'elenco di proxy SOCKS fornisce candidati; abbina la versione e il supporto dell'autenticazione al browser.