HSTS задаёт требование HTTPS, HPKP — дополнительное ограничение ключей цепочки у поддерживающего клиента. Один механизм не доказывает наличие другого.
PKI и жизненный цикл сертификатов
Закрепление ключей HTTP (HPKP)
Определение
Закрепление ключей HTTP (HPKP) — механизм RFC 7469: сайт перечисляет допустимые ключи, и клиент с его поддержкой принимает только цепочку сертификатов, в которой есть один из них. В Chrome поддержку удалили начиная с версии 72.
Также ищут: HTTP Public Key Pinning · HPKP · Public-Key-Pins
Зачем это знать
У механизма есть три разные характеристики: документ IETF, реализация в конкретном клиенте и эксплуатационный риск закреплённого набора. Проверка только одной из них даёт неверную картину.
Связи из словаря
Карта понятия
Закрепление ключей HTTP (HPKP)
Доказательная часть
Что подтверждено
На 8 сентября 2026 года RFC 7469 сохраняет статус Proposed Standard и не переведён в Historic. Сам этот статус не подтверждает наличие поддержки HPKP в конкретном браузере.
Граница применимости: Статус документа RFC 7469 на указанную дату; сведения о реализации конкретного клиента проверяются отдельно.
HSTS требует защищённого транспорта для известного узла, а HPKP вводит ограничение на ключи принимаемой цепочки у поддерживающего клиента. Наличие HSTS не доказывает настроенное закрепление ключей.
Граница применимости: Сопоставление RFC 6797 и RFC 7469; свойства механизмов разделены, поддержка HPKP современным клиентом не предполагается.
Если применяемое клиентом закрепление допускает прежний набор ключей, а после замены доступна только цепочка вне этого набора, обычной корректности TLS-сертификата недостаточно для принятия соединения. Поэтому ротацию проверяют вместе с конкретным механизмом закрепления и путём восстановления доступа.
Граница применимости: Условный эксплуатационный вывод из ограничения ключей HPKP и жизненного цикла ключей NIST; не предписание разворачивать HPKP и не обещание одинакового восстановления у разных клиентов.
В реестре Chrome Platform Status запись «Remove HTTP-Based Public Key Pinning» помечена Removed с вехой Chrome 72. Причины удаления — очень низкое внедрение и риски отказа в обслуживании и враждебного закрепления, несмотря на защиту от ошибочного выпуска сертификатов.
Граница применимости: Проверенная редактором запись 5903385005916160 о реализации HTTP HPKP в Chrome. Это сведения реестра возможностей браузера, а не изменение статуса RFC 7469 и не утверждение обо всех видах закрепления ключей.
Граница терминов
Не путать
Ротация заменяет рабочий материал. Если клиент дополнительно закрепляет ключи, план должен учитывать именно его допустимый набор и поведение при смене.
Перед спецификацией
Что проверить
- Назовите конкретный механизм закрепления.
- Проверьте его поддержку и версию клиента.
- Разделяйте статус RFC и поддержку реализации.
- Учтите влияние смены ключа на допустимый набор.
- Проверьте риск потери доступа и предусмотренный путь восстановления.
- Не переносите историю HTTP HPKP на все виды закрепления ключей.
Открытые основания
Первоисточники
- Public Key Pinning Extension for HTTP
Редактор проверил 8 сентября 2026 года: статус Proposed Standard, не Historic. Статус RFC и поддержка браузера рассматриваются раздельно.
- HTTP Strict Transport Security
Определяет browser policy, принуждающую известный HSTS host использовать secure transport и прекращать соединение при TLS errors.
Утверждения: 02
- Recommendation for Key Management: Part 1 — General
Определяет key-management functions, lifecycle states, cryptoperiods, protection, backup/recovery, compromise и destruction.
Утверждения: 03
- Remove HTTP-Based Public Key Pinning
Запись реестра возможностей браузера, не стандарт IETF. URL, название, Removed, Chrome 72 и причины проверены редактором по открытому оригиналу и переданы 08.09.2026; нового HTTP-запроса ассистент не делал.
Утверждения: 04