HSTS in varnostne glave za Vašo spletno stran

Vaš spletni strežnik ob vsaki strani pošlje tudi glave (headers): kratke vrstice z navodili za brskalnik. Delno določajo, kako varno brskalnik ravna z Vašim spletnim mestom. Tukaj boste izvedeli, kaj je HSTS, katere druge varnostne glave obstajajo ter kako jih nastavite in preizkusite.

Vaše spletno mesto mora najprej imeti delujoč certifikat in obiskovalce preusmerjati na https. Več o tem preberite v člankih Aktivacija in podaljšanje certifikata SSL ter odpravljanje težav in Obvezna preusmeritev obiskovalcev na https.

Kaj naredi HSTS?

Preusmeritev na https ima eno šibko točko: prva zahteva prek http še vedno potuje nešifrirano. Nekdo v istem omrežju, na primer v javnem omrežju wifi, lahko to zahtevo prestreže. HSTS (HTTP Strict Transport Security) to težavo odpravi. Vaše spletno mesto prek https pošlje to glavo:

Strict-Transport-Security: max-age=31536000

Brskalnik si nato zapomni, da sme Vaše spletno mesto odpirati samo prek https. Če obiskovalec pozneje vpiše http://, brskalnik sam spremeni naslov v https, še preden kar koli potuje po omrežju. Glavo HSTS, ki prispe prek navadnega http, brskalnik prezre.

HSTS pri WebOké

Na večini naših strežnikov spletni strežnik privzeto pošilja HSTS za vsako spletno mesto, ki se odpre prek https: Strict-Transport-Security: max-age=31536000. To je eno leto, brez includeSubDomains in brez preload. Za to Vam ni treba storiti ničesar. Na nekaj strežnikih ta možnost privzeto ni vklopljena; tam jo vklopite sami. Ali Vaše spletno mesto že pošilja HSTS in s katerim max-age, vidite v orodjih za razvijalce v brskalniku ali v testu na internet.nl (glejte spodaj).

Stikalo HSTS v DirectAdminu

V DirectAdminu odprite Domains in kliknite ime svoje domene. Če je vklopljena možnost Secure SSL, pri HSTS vidite stikalo Enable HTTP Strict Transport Security. Nato za shranjevanje kliknite Save. Postopek po korakih je opisan v članku Obiskovalce vedno preusmerite na https.

Če Vaše spletno mesto že pošilja HSTS, stikala ne potrebujete. Vklopite ga samo, če Vaše spletno mesto HSTS še ne pošilja. HSTS nastavite na enem mestu: v DirectAdminu ali v .htaccess, ne v obeh. Če brskalnik prejme dve glavi HSTS, uporabi samo prvo.

Druge varnostne glave

Nastavitev v .htaccess

Te vrstice dodajte na vrh datoteke .htaccess v mapi public_html svoje domene. Najprej naredite kopijo datoteke.

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  # Samo če Vaše spletno mesto še ne pošilja HSTS (glejte zgoraj):
  # Header always set Strict-Transport-Security "max-age=31536000"
</IfModule>

includeSubDomains dodajte šele, ko ste prepričani, da ima vsaka poddomena https. Če uporabljate WordPress, lahko glave nastavite tudi z vtičnikom. Izberite znan vtičnik, ki se še posodablja, in vsako glavo nastavite na enem mestu: v vtičniku ali v .htaccess.

Na VPS z nginx ali Caddy

Na VPS ne uporabljate DirectAdmina in pogosto tudi ne .htaccess. Glave v tem primeru nastavite v nastavitvah svojega spletnega strežnika. Noben od obeh ne pošilja HSTS ali teh glav samodejno.

nginx: v bloku server za vrata 443:

add_header Strict-Transport-Security "max-age=31536000" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Content-Security-Policy "frame-ancestors 'self'" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Z always se glave pošljejo tudi pri straneh z napako. Pozor: če ima blok location svoj add_header, pravila iz bloka server za to lokacijo ne veljajo več. Tam jih ponovite ali jih shranite v ločeno datoteko, ki jo povsod vključite z include. Nastavitve preizkusite z nginx -t in jih naložite z systemctl reload nginx.

Caddy: v bloku svojega spletnega mesta v datoteki Caddyfile:

header {
	Strict-Transport-Security "max-age=31536000"
	X-Content-Type-Options "nosniff"
	Content-Security-Policy "frame-ancestors 'self'"
	Referrer-Policy "strict-origin-when-cross-origin"
}

Spremembo naložite z systemctl reload caddy. Za postavitev spletnega mesta z nginx ali Caddy glejte nginx s certifikatom Let's Encrypt in Caddy: spletno mesto s samodejnim https v priročniku za VPS.

Preizkušanje

• Internet.nl: vpišite svojo domeno v test spletnega mesta na internet.nl.
• Vaš brskalnik: odprite svoje spletno mesto, pritisnite F12 (ali izberite Preglej), odprite zavihek Omrežje, znova naložite stran in kliknite prvo zahtevo. Pod Glave odgovora (Response Headers) vidite vse, kar pošilja Vaš strežnik.
• Ukazna vrstica: curl -sI https://vasadomena.si/ prikaže glave.

Po vsaki spremembi preverite, ali Vaše spletno mesto, obrazci in stran za plačilo še delujejo. Poleg tega redno posodabljajte svoj CMS, vtičnike in teme. Glejte Zaščita datoteke wp-login.php v WordPressu.

Več o tem

• MDN: Strict-Transport-Security (v angleščini)
• MDN: Content-Security-Policy (v angleščini)
• MDN: Permissions-Policy (v angleščini)
• Seznam HSTS preload (v angleščini)

Želite izvedeti več? Udeležite se brezplačnega tečaja Varno na spletu za podjetnike, lekcija 4.2 Vaše spletno mesto: https, HSTS in varnostne glave, ali brezplačnega tečaja WordPress, lekcija 7.4 Utrjevanje spletnega mesta: pravice, glave in varnostni vtičniki.