HSTS in varnostne glave za Vašo spletno stran
Pri vsaki strani Vaš spletni strežnik pošlje glave (headers): kratke vrstice z navodili za brskalnik. Te delno določajo, kako varno brskalnik ravna z Vašo spletno stranjo. Tukaj preberete, kaj je HSTS, katere druge varnostne glave obstajajo ter kako jih nastavite in preizkusite.
Najprej mora imeti Vaša spletna stran delujoče potrdilo in obiskovalce usmerjati na https. O tem preberite v člankih Aktiviranje, obnavljanje in odpravljanje težav s SSL potrdilom in Obvezno preusmerjanje obiskovalcev na https.
Kaj počne HSTS?
Preusmerjanje na https ima eno šibko točko: prva zahteva prek http gre še vedno nešifrirana. Nekdo v istem omrežju, na primer v javnem brezžičnem omrežju, lahko to zahtevo prestreže. HSTS (HTTP Strict Transport Security) to odpravi. Vaša spletna stran prek https pošlje naslednjo glavo:
Strict-Transport-Security: max-age=31536000
Brskalnik si tako zapomni, da sme Vašo spletno stran odpreti le prek https. Če obiskovalec kasneje vnese http://, brskalnik to samodejno spremeni v https, še preden kar koli potuje po omrežju. Glavo HSTS, ki prispe prek navadnega http, brskalnik prezre.
| Del | Pomen |
|---|---|
max-age | Koliko časa si brskalnik to zapomni, v sekundah. Preizkus na internet.nl šteje vsaj eno leto (31536000) za zadostno. |
includeSubDomains | Velja tudi za vse poddomene, na primer shop.vašadomena.nl in mail.vašadomena.nl. |
preload | Zaprosite za uvrstitev na seznam, ki je vgrajen v brskalnike (hstspreload.org). Tako je zaščiten celo prav prvi obisk. Za to je med drugim potrebno eno leto, includeSubDomains in https na vseh poddomenah. Odstranitev s seznama traja dolgo. |
max-age=0 | Ob naslednjem obisku prek https izbriše zapomnjeno navodilo. |
includeSubDomains to velja tudi za vsako poddomeno, na primer staro stran kamere ali tiskalnika brez potrdila. Zato gradite postopoma: začnite s kratkim max-age, na primer en dan (86400), preverite, ali vse deluje, in postopoma povečujte do enega leta.HSTS pri WebOké
Na večini naših strežnikov spletni strežnik privzeto pošlje HSTS za vsako spletno stran, ki se odpre prek https: Strict-Transport-Security: max-age=31536000. To je eno leto, brez includeSubDomains in brez preload. Za to Vam ni treba storiti ničesar. Na nekaterih strežnikih to ni privzeto vklopljeno, zato to vklopite sami. Ali Vaša spletna stran že pošilja HSTS in s katerim max-age, vidite v razvijalskih orodjih Vašega brskalnika ali v preizkusu na internet.nl (glejte spodaj).
Stikalo HSTS v DirectAdmin
V DirectAdmin pojdite na Domains in kliknite na ime Vaše domene. Če je vklopljeno Secure SSL Connection, pri HSTS vidite stikalo Enable HTTP Strict Transport Security. Nato kliknite Update, da shranite. Kako to poteka korak za korakom, preberite v članku Vedno usmerjanje obiskovalcev na https.
Če Vaša spletna stran že pošilja HSTS, stikala ne potrebujete. Vklopite ga le, če Vaša spletna stran HSTS še ne pošilja. HSTS nastavite na enem mestu: v DirectAdmin ali v .htaccess, ne na obeh. Če brskalnik prejme dve glavi HSTS, uporabi le prvo.
Druge varnostne glave
| Glava | Proti čemu | Vrednost za začetek |
|---|---|---|
X-Content-Type-Options | Brskalnik sam ugiba, kaj je neka datoteka, zaradi česar se naložena "slika" lahko izvede kot skript. | nosniff (edina veljavna vrednost) |
Content-Security-Policy: frame-ancestors ali X-Frame-Options | Clickjacking: druga spletna stran Vašo stran nevidno naloži v okvir (frame), tako da obiskovalci nevede kliknejo na Vaše gumbe. | frame-ancestors 'self', ali starejša glava X-Frame-Options: SAMEORIGIN |
Referrer-Policy | Ob kliku na drugo spletno stran brskalnik pošlje naslov prejšnje strani, včasih s podatkom o iskalnem izrazu ali številki naročila. | strict-origin-when-cross-origin, ali strožje same-origin oziroma no-referrer. Internet.nl kot ustrezni šteje le strogi vrednosti. |
Permissions-Policy | Določa, katere funkcije brskalnika smejo uporabljati Vaša stran in vdelani okviri, na primer kamero, mikrofon in lokacijo. | camera=(), microphone=(), geolocation=() izklopi te tri. Če Vaša spletna stran uporablja katero od teh funkcij, jo izpustite. |
Content-Security-Policy (celotna) | Omejuje, od kod smejo nalagati skripti, stili in slike. To občutno oteži vrinjene zlonamerne skripte (XSS). | Prilagojeno po meri za vsako spletno stran. Izogibajte se unsafe-inline, unsafe-eval in nadomestnim znakom (wildcards). |
Nastavitev v .htaccess
Te vrstice vstavite na vrh datoteke .htaccess v mapi public_html Vaše domene. Najprej naredite kopijo datoteke.
<IfModule mod_headers.c> Header always set X-Content-Type-Options "nosniff" Header always set Content-Security-Policy "frame-ancestors 'self'" Header always set Referrer-Policy "strict-origin-when-cross-origin" Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()" # Samo če Vaša spletna stran še ne pošilja HSTS (glejte zgoraj): # Header always set Strict-Transport-Security "max-age=31536000" </IfModule>
includeSubDomains dodajte šele, ko ste prepričani, da ima vsaka poddomena https. Če uporabljate WordPress, lahko glave nastavite tudi z vtičnikom. Izberite znan vtičnik, ki se še posodablja, in vsako glavo nastavite na enem mestu: v vtičniku ali v .htaccess.
Content-Security-Policy-Report-Only. Ta ničesar ne blokira, pač pa v konzoli brskalnika pokaže, kaj bi bilo blokirano. Pri dvomu to prepustite svojemu spletnemu razvijalcu, ali pa začnite samo z frame-ancestors.Testiranje
- Internet.nl: vnesite svojo domeno v preizkus spletne strani na internet.nl.
- Vaš brskalnik: odprite svojo spletno stran, pritisnite F12 (ali izberite Preglej), pojdite na zavihek Omrežje (Network), ponovno naložite stran in kliknite na prvo zahtevo. Pod Odzivne glave (Response Headers) vidite vse, kar pošilja Vaš strežnik.
- Ukazna vrstica:
curl -sI https://vašadomena.nl/prikaže glave.
Po vsaki spremembi preverite, ali Vaša spletna stran, obrazci in stran za plačilo še delujejo. Poleg tega skrbite, da so Vaš CMS, vtičniki in teme posodobljeni. Glejte Zavarovanje wp-login.php pri WordPress.
Dodatno branje
- MDN: Strict-Transport-Security (angleško)
- MDN: Content-Security-Policy (angleško)
- MDN: Permissions-Policy (angleško)
- Seznam HSTS preload (angleško)