HSTS a bezpečnostní hlavičky pro Váš web

S každou stránkou posílá Váš webový server také hlavičky: krátké řádky s pokyny pro prohlížeč. Ty zčásti určují, jak bezpečně prohlížeč s Vaším webem zachází. Zde se dočtete, co je HSTS, jaké další bezpečnostní hlavičky existují a jak je nastavit a otestovat.

Nejprve musí mít Váš web funkční certifikát a přesměrovávat návštěvníky na https. Více o tom najdete v článcích Aktivace a obnovení SSL certifikátu a řešení problémů a Povinné přesměrování návštěvníků na https.

Co dělá HSTS?

Přesměrování na https má jedno slabé místo: první požadavek přes http jde ještě nešifrovaně. Někdo ve stejné síti, například na veřejné wifi, může tento požadavek zachytit. HSTS (HTTP Strict Transport Security) to řeší. Váš web přes https posílá tuto hlavičku:

Strict-Transport-Security: max-age=31536000

Prohlížeč si pak zapamatuje, že smí Váš web otevírat pouze přes https. Pokud návštěvník později zadá http://, prohlížeč z toho sám udělá https, ještě než cokoli odejde do sítě. Hlavičku HSTS, která přijde přes obyčejné http, prohlížeč ignoruje.

HSTS u WebOké

Na většině našich serverů posílá webový server HSTS standardně u každého webu otevřeného přes https: Strict-Transport-Security: max-age=31536000. To je jeden rok, bez includeSubDomains a bez preload. Nemusíte pro to nic dělat. Na několika serverech není tato funkce standardně zapnutá, tam si ji zapnete sami. Zda Váš web HSTS již posílá a s jakým max-age, zjistíte ve vývojářských nástrojích svého prohlížeče nebo v testu internet.nl (viz níže).

Přepínač HSTS v DirectAdmin

V DirectAdmin přejděte do Domain Setup a klikněte na název své domény. Pokud je zapnuto Secure SSL, uvidíte u HSTS přepínač Enable HTTP Strict Transport Security. Poté klikněte na Save, aby se změna uložila. Postup krok za krokem najdete v článku Jak návštěvníky vždy přesměrovat na https.

Pokud Váš web HSTS již posílá, přepínač nepotřebujete. Zapněte ho pouze v případě, že Váš web HSTS zatím neposílá. HSTS nastavte na jednom místě: v DirectAdmin, nebo v .htaccess, ne v obou. Pokud prohlížeč obdrží dvě hlavičky HSTS, použije pouze první.

Další bezpečnostní hlavičky

Nastavení v .htaccess

Vložte tyto řádky na začátek souboru .htaccess ve složce public_html Vaší domény. Nejprve si soubor zálohujte.

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  # Alleen als je site nog geen HSTS meestuurt (zie hierboven):
  # Header always set Strict-Transport-Security "max-age=31536000"
</IfModule>

Řádek s HSTS odkomentujte pouze tehdy, pokud Váš web HSTS zatím neposílá (viz výše). includeSubDomains přidejte až ve chvíli, kdy máte jistotu, že každá subdoména má https. Pokud používáte WordPress, můžete hlavičky nastavit také pomocí pluginu. Zvolte známý plugin, který se stále aktualizuje, a každou hlavičku nastavte na jednom místě: v pluginu, nebo v .htaccess.

Na VPS s nginx nebo Caddy

Na VPS nepoužíváte DirectAdmin a často ani .htaccess. Hlavičky pak nastavíte v konfiguraci svého webového serveru. Ani jeden z nich neposílá HSTS ani tyto hlavičky automaticky.

nginx: v bloku server pro port 443:

add_header Strict-Transport-Security "max-age=31536000" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Content-Security-Policy "frame-ancestors 'self'" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Díky always se hlavičky posílají i u chybových stránek. Pozor: pokud blok location obsahuje vlastní add_header, pravidla z bloku server pro tuto location již neplatí. Zopakujte je tam, nebo je uložte do samostatného souboru, který všude vložíte pomocí include. Konfiguraci otestujte příkazem nginx -t a načtěte ji příkazem systemctl reload nginx.

Caddy: v bloku Vašeho webu v souboru Caddyfile:

header {
	Strict-Transport-Security "max-age=31536000"
	X-Content-Type-Options "nosniff"
	Content-Security-Policy "frame-ancestors 'self'"
	Referrer-Policy "strict-origin-when-cross-origin"
}

Změnu načtěte příkazem systemctl reload caddy. Jak web s nginx nebo Caddy sestavit, najdete v příručce k VPS v článcích nginx s certifikátem od Let's Encrypt a Caddy: web s automatickým https.

Testování

• Internet.nl: zadejte svou doménu do testu webu na internet.nl.
• Váš prohlížeč: otevřete svůj web, stiskněte F12 (nebo zvolte Prozkoumat), přejděte na kartu Síť, znovu načtěte stránku a klikněte na první požadavek. V části Záhlaví odpovědi (Response Headers) uvidíte vše, co Váš server posílá.
• Příkazový řádek: curl -sI https://vasedomena.cz/ zobrazí hlavičky.

Po každé změně zkontrolujte, zda Váš web, formuláře a platební stránka stále fungují. Kromě toho udržujte svůj CMS, pluginy a šablony aktuální. Viz Zabezpečení wp-login.php ve WordPressu.

Další čtení

• MDN: Strict-Transport-Security (anglicky)
• MDN: Content-Security-Policy (anglicky)
• MDN: Permissions-Policy (anglicky)
• Seznam HSTS preload (anglicky)

Chcete se dozvědět více? Absolvujte bezplatný kurz Bezpečně online pro podnikatele, lekci 4.2 Váš web: https, HSTS a bezpečnostní hlavičky, nebo bezplatný kurz WordPressu, lekci 7.4 Zabezpečení webu: oprávnění, hlavičky a bezpečnostní pluginy.