HSTS i sigurnosna zaglavlja za Vašu web stranicu

Uz svaku stranicu Vaš web poslužitelj šalje i zaglavlja (headers): kratke retke s uputama za preglednik. Ona dijelom određuju koliko sigurno preglednik postupa s Vašom stranicom. Ovdje ćete saznati što je HSTS, koja još sigurnosna zaglavlja postoje te kako ih postaviti i testirati.

Vaša stranica najprije mora imati ispravan certifikat i preusmjeravati posjetitelje na https. O tome više pročitajte u člancima Aktiviranje i obnova SSL certifikata te rješavanje problema i Obavezno preusmjeravanje posjetitelja na https.

Čemu služi HSTS?

Preusmjeravanje na https ima jednu slabu točku: prvi zahtjev putem http još uvijek putuje nešifriran. Netko na istoj mreži, primjerice na javnom Wi-Fiju, može presresti taj zahtjev. HSTS (HTTP Strict Transport Security) rješava taj problem. Vaša stranica putem https šalje ovo zaglavlje:

Strict-Transport-Security: max-age=31536000

Preglednik tada pamti da Vašu stranicu smije otvarati samo putem https. Ako posjetitelj kasnije upiše http://, preglednik ga sam pretvara u https, i prije nego što išta krene preko mreže. HSTS zaglavlje koje stigne putem običnog http preglednik zanemaruje.

HSTS kod WebOké

Na većini naših poslužitelja web poslužitelj standardno šalje HSTS za svaku web stranicu koja se otvara putem https: Strict-Transport-Security: max-age=31536000. To je godina dana, bez includeSubDomains i bez preload. Za to ne trebate ništa učiniti. Na nekoliko poslužitelja to nije standardno uključeno; ondje ga uključujete sami. Šalje li Vaša stranica već HSTS i s kojim max-age, možete vidjeti u alatima za razvojne programere u svojem pregledniku ili u testu na internet.nl (vidi niže).

HSTS prekidač u DirectAdminu

U DirectAdminu otvorite Domains i kliknite na naziv svoje domene. Ako je uključena opcija Secure SSL, kod HSTS ćete vidjeti prekidač Enable HTTP Strict Transport Security. Zatim kliknite Modify kako biste spremili promjene. Kako to učiniti korak po korak, pročitajte u članku Uvijek preusmjeravajte posjetitelje na https.

Ako Vaša stranica već šalje HSTS, prekidač Vam nije potreban. Uključite ga samo ako Vaša stranica još ne šalje HSTS. HSTS postavite na jednom mjestu: u DirectAdminu ili u .htaccess, ne na oba. Ako preglednik primi dva HSTS zaglavlja, koristit će samo prvo.

Ostala sigurnosna zaglavlja

Postavljanje u .htaccess

Ove retke dodajte na vrh datoteke .htaccess u mapi public_html svoje domene. Najprije napravite kopiju datoteke.

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  # Samo ako Vaša stranica još ne šalje HSTS (vidi gore):
  # Header always set Strict-Transport-Security "max-age=31536000"
</IfModule>

Dodajte includeSubDomains tek kada ste sigurni da svaka poddomena ima https. Ako koristite WordPress, zaglavlja možete postaviti i pomoću dodatka (plugina). Odaberite poznati dodatak koji se još ažurira i svako zaglavlje postavite na jednom mjestu: u dodatku ili u .htaccess.

Na VPS-u s nginxom ili Caddyjem

Na VPS-u ne koristite DirectAdmin, a često ni .htaccess. Zaglavlja tada postavljate u postavkama svojeg web poslužitelja. Nijedan od njih ne šalje HSTS ni ova zaglavlja automatski.

nginx: u bloku server za port 443:

add_header Strict-Transport-Security "max-age=31536000" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Content-Security-Policy "frame-ancestors 'self'" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Uz always zaglavlja se šalju i sa stranicama pogrešaka. Napomena: ako se u bloku location nalazi vlastiti add_header, pravila iz bloka server više ne vrijede za tu lokaciju. U tom ih slučaju ondje ponovite ili ih stavite u zasebnu datoteku koju pomoću include umećete posvuda. Postavke testirajte naredbom nginx -t i učitajte ih naredbom systemctl reload nginx.

Caddy: u bloku svoje stranice u datoteci Caddyfile:

header {
	Strict-Transport-Security "max-age=31536000"
	X-Content-Type-Options "nosniff"
	Content-Security-Policy "frame-ancestors 'self'"
	Referrer-Policy "strict-origin-when-cross-origin"
}

Promjenu učitajte naredbom systemctl reload caddy. Za postavljanje stranice s nginxom ili Caddyjem pogledajte nginx s certifikatom tvrtke Let's Encrypt i Caddy: web stranica s automatskim https u priručniku za VPS.

Testiranje

• Internet.nl: unesite svoju domenu u test web stranice na internet.nl.
• Vaš preglednik: otvorite svoju stranicu, pritisnite F12 (ili odaberite Pregledaj), otvorite karticu Mreža, ponovno učitajte stranicu i kliknite na prvi zahtjev. Pod Zaglavlja odgovora (Response Headers) vidjet ćete sve što Vaš poslužitelj šalje.
• Naredbeni redak: curl -sI https://vasadomena.hr/ prikazuje zaglavlja.

Nakon svake promjene provjerite rade li još Vaša stranica, obrasci i stranica za plaćanje. Osim toga, redovito ažurirajte svoj CMS, dodatke i teme. Pogledajte Zaštita datoteke wp-login.php u WordPressu.

Dodatno čitanje

• MDN: Strict-Transport-Security (na engleskom)
• MDN: Content-Security-Policy (na engleskom)
• MDN: Permissions-Policy (na engleskom)
• HSTS preload popis (na engleskom)

Želite li naučiti više? Pohađajte besplatni tečaj Sigurno na internetu za poduzetnike, lekciju 4.2 Vaša web stranica: https, HSTS i sigurnosna zaglavlja, ili besplatni tečaj za WordPress, lekciju 7.4 Učvršćivanje stranice: dozvole, zaglavlja i sigurnosni dodaci.