Header HSTS e di sicurezza per il Suo sito web
Con ogni pagina, il Suo server web invia degli header: brevi righe con istruzioni per il browser. Determinano in parte quanto in modo sicuro il browser gestisce il Suo sito. Qui scopre cos'è l'HSTS, quali altri header di sicurezza esistono e come impostarli e testarli.
Prima di tutto, il Suo sito deve avere un certificato funzionante e indirizzare i visitatori verso https. Lo trova in Attivare, rinnovare e risolvere i problemi del certificato SSL e Reindirizzare obbligatoriamente i visitatori verso https.
Cosa fa l'HSTS?
Il reindirizzamento verso https ha un momento debole: la prima richiesta tramite http avviene ancora non criptata. Qualcuno sulla stessa rete, ad esempio su una wifi pubblica, può intercettare quella richiesta. L'HSTS (HTTP Strict Transport Security) risolve questo problema. Il Suo sito invia tramite https questo header:
Strict-Transport-Security: max-age=31536000
Il browser ricorda quindi che può aprire il Suo sito solo tramite https. Se in seguito un visitatore digita http://, il browser lo trasforma automaticamente in https, ancora prima che qualcosa venga inviato tramite la rete. Un header HSTS ricevuto tramite normale http viene ignorato dal browser.
| Componente | Significato |
|---|---|
max-age | Per quanto tempo il browser lo ricorda, in secondi. Il test di internet.nl considera sufficiente almeno un anno (31536000). |
includeSubDomains | Vale anche per tutti i sottodomini, come shop.ilsuodominio.nl e mail.ilsuodominio.nl. |
preload | Richiede l'inclusione nell'elenco integrato nei browser (hstspreload.org). In questo modo è protetta anche la primissima visita. Per questo sono necessari, tra l'altro, un anno, includeSubDomains e https su tutti i sottodomini. Rimuoverlo richiede molto tempo. |
max-age=0 | Cancella l'istruzione memorizzata alla successiva visita tramite https. |
includeSubDomains ciò vale anche per ogni sottodominio, come una vecchia pagina di telecamera o stampante priva di certificato. Proceda quindi gradualmente: inizi con un max-age breve, ad esempio un giorno (86400), verifichi che tutto funzioni e aumenti gradualmente fino a un anno.L'interruttore HSTS in DirectAdmin
In DirectAdmin, vada su Domini e clicchi sul nome del Suo dominio. Se Connessione SSL sicura è attivo, vede accanto a HSTS l'interruttore Abilita HTTP Strict Transport Security. Clicchi poi su Modifica per salvare. Per la procedura passo passo, consulti Reindirizzare sempre i visitatori verso https.
Se vuole sapere quale max-age invia il Suo sito, controlli gli strumenti per sviluppatori del Suo browser o il test di internet.nl (vedi sotto). Imposti l'HSTS in un solo punto: in DirectAdmin oppure in .htaccess, non in entrambi. Se il browser riceve due header HSTS, utilizza solo il primo.
Gli altri header di sicurezza
| Header | Contro cosa | Valore di partenza |
|---|---|---|
X-Content-Type-Options | Il browser cerca di indovinare da solo il tipo di file, per cui un'"immagine" caricata potrebbe essere eseguita come script. | nosniff (l'unico valore valido) |
Content-Security-Policy: frame-ancestors oppure X-Frame-Options | Clickjacking: un altro sito carica la Sua pagina in modo invisibile in un frame, cosicché i visitatori cliccano inconsapevolmente sui Suoi pulsanti. | frame-ancestors 'self', oppure l'header più vecchio X-Frame-Options: SAMEORIGIN |
Referrer-Policy | Quando si clicca verso un altro sito, il browser invia l'indirizzo della pagina precedente, talvolta con un termine di ricerca o un numero d'ordine al suo interno. | strict-origin-when-cross-origin, oppure, in modo più rigoroso, same-origin o no-referrer. Internet.nl considera positivi solo i valori rigorosi. |
Permissions-Policy | Determina quali funzioni del browser può utilizzare la Sua pagina e i frame incorporati, come fotocamera, microfono e geolocalizzazione. | camera=(), microphone=(), geolocation=() disattiva queste tre funzioni. Se il Suo sito utilizza una di queste funzioni, la ometta. |
Content-Security-Policy (completo) | Limita da quali luoghi possono essere caricati script, stili e immagini. Ciò rende molto più difficile l'inserimento di script dannosi (XSS). | Personalizzazione per ogni sito. Eviti unsafe-inline, unsafe-eval e caratteri jolly. |
Impostazione in .htaccess
Inserisca queste righe all'inizio del file .htaccess nella cartella public_html del Suo dominio. Faccia prima una copia del file.
<IfModule mod_headers.c> Header always set X-Content-Type-Options "nosniff" Header always set Content-Security-Policy "frame-ancestors 'self'" Header always set Referrer-Policy "strict-origin-when-cross-origin" Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()" # Solo se l'interruttore HSTS in DirectAdmin è disattivato: # Header always set Strict-Transport-Security "max-age=31536000" </IfModule>
Aggiunga includeSubDomains solo quando è sicuro che ogni sottodominio abbia https. Se utilizza WordPress, può anche impostare gli header tramite un plugin. Scelga un plugin affidabile che venga ancora aggiornato e imposti ogni header in un solo punto: nel plugin oppure in .htaccess.
Content-Security-Policy-Report-Only. Questo non blocca nulla, ma mostra nella console del browser cosa verrebbe bloccato. In caso di dubbio, lasci questo compito al Suo sviluppatore web, oppure inizi solo con frame-ancestors.Verifica
- Internet.nl: inserisca il Suo dominio nel test del sito web su internet.nl.
- Il Suo browser: apra il Suo sito, prema F12 (oppure scelga Ispeziona), vada alla scheda Rete, ricarichi la pagina e clicchi sulla prima richiesta. Sotto Intestazioni di risposta (Response Headers) vede tutto ciò che il Suo server invia.
- La riga di comando:
curl -sI https://ilsuodominio.nl/mostra gli header.
Dopo ogni modifica, verifichi che il Suo sito, i moduli e la pagina di pagamento funzionino ancora. Inoltre, mantenga aggiornati il Suo CMS, i plugin e i temi. Consulti Proteggere wp-login.php di WordPress.
Per approfondire
- MDN: Strict-Transport-Security (in inglese)
- MDN: Content-Security-Policy (in inglese)
- MDN: Permissions-Policy (in inglese)
- Elenco di preload HSTS (in inglese)