Site-ul dumneavoastră web: https, HSTS și antete de securitate

Modulul 4: E-mail, site web și domeniu · Timp de citire: 11 minute

Obiectiv de învățare: După această lecție, veți putea verifica securitatea de bază a site-ului dumneavoastră web: un certificat valid, redirecționarea către https, HSTS cu un max-age corect, cele mai importante antete de securitate și actualizarea CMS-ului dumneavoastră.
Concepte-cheie: certificat TLS, https, redirecționare către https, HSTS, max-age, includeSubDomains, preload, antet HTTP, Content-Security-Policy, X-Content-Type-Options, frame-ancestors, X-Frame-Options, Referrer-Policy

Ce se întâmplă atunci când cineva deschide site-ul dumneavoastră

Dacă un client scrie example.com în bara de adrese, browserul solicită pagina de la serverul dumneavoastră web. Această comunicare se face prin HTTP. În cazul https, în jurul acesteia există o conexiune criptată: TLS. Pentru aceasta site-ul dumneavoastră web are nevoie de un certificat TLS (adesea numit încă certificat SSL). Certificatul dovedește că serverul aparține cu adevărat de example.com, iar criptarea asigură că nimeni pe parcurs nu poate citi sau modifica nimic. Acest lucru este important în rețelele wifi publice, unde nu știți cine administrează rețeaua (lecția 5.3).

La fiecare răspuns, serverul trimite, pe lângă pagina propriu-zisă, și un set de antete: linii scurte cu informații și instrucțiuni pentru browser. Nu le vedeți pe ecran, dar ele determină în mare măsură cât de sigur se comportă browserul cu site-ul dumneavoastră. O parte dintre aceste antete sunt antete de securitate. În această lecție parcurgem cele patru straturi: certificat, redirecționare, HSTS și antete. Apoi ne uităm pe scurt la actualizarea site-ului dumneavoastră web propriu-zis.

Stratul 1: un certificat valid

Un certificat este în regulă dacă îndeplinește trei condiții:

1. nu este expirat;
2. este emis de un emitent de încredere (o autoritate de certificare pe care browserele o cunosc, precum Let's Encrypt sau o firmă comercială);
3. este valabil pentru exact numele pe care vizitatorul îl deschide: example.com și www.example.com, dacă le folosiți pe amândouă.

Aproape orice furnizor de găzduire (hosting) organizează în prezent un certificat gratuit care se reînnoiește automat. Dacă apare o problemă, de obicei este pentru că numele de domeniu indică spre un alt server sau pentru că o înregistrare CAA blochează emitentul (lecția 4.3).

Important de știut: un lacăt nu spune nimic despre fiabilitatea site-ului. El indică doar că legătura este criptată și că certificatul corespunde numelui din bara de adrese. Site-urile de phishing de pe mijnbank-veilig.example au la fel de bine un lacăt. De aceea veți învăța în lecția 3.2 cum să citiți domeniul.

Stratul 2: redirecționare permanentă către https

Un certificat în sine nu este suficient. Cine deschide http://example.com, de exemplu printr-un link vechi sau doar tastând numele, trebuie să ajungă automat la versiunea https. Aceasta se numește redirecționare (un redirect, de obicei cu codul de stare 301).

O ordine corectă este:

http://example.com      ->  https://example.com
https://example.com     ->  https://www.example.com   (doar dacă folosiți www ca adresă principală)
http://www.example.com  ->  https://www.example.com

Atenție la prima linie: redirecționați mai întâi de la http la https pe același nume, abia apoi, eventual, la www. Astfel browserul poate primi instrucțiunea HSTS și pentru numele simplu. internet.nl verifică exact acest aspect.

O greșeală frecventă este redirecționarea dublă: atât în panoul de găzduire (hosting), cât și într-un plugin sau în .htaccess. Acest lucru poate genera o buclă fără sfârșit ("prea multe redirecționări"). Folosiți un singur loc.

Stratul 3: HSTS

Redirecționarea are un moment slab: prima cerere trece încă necriptat prin http. Un atacator din aceeași rețea poate intercepta acea cerere și poate menține vizitatorul pe o versiune falsă, necriptată. Pentru aceasta există HSTS (HTTP Strict Transport Security, RFC 6797).

Prin HSTS, site-ul dumneavoastră trimite prin https un antet:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Browserul reține atunci: "acest site se deschide doar prin https, timp de următoarele 31.536.000 de secunde (un an)". Dacă vizitatorul tastează mai târziu http://example.com, browserul transformă el însuși adresa în https, chiar înainte ca ceva să fie trimis prin rețea. Prima cerere vulnerabilă dispare.

Trei lucruri pe care trebuie să le știți înainte de a activa HSTS:

• Mai întâi trebuie ca https să funcționeze peste tot. Un browser care a reținut HSTS și întâlnește o eroare de certificat nu oferă vizitatorului niciun buton pentru a continua totuși (RFC 6797, paragraful 12.1). Dacă certificatul dumneavoastră expiră sau nu este corect pentru www, site-ul dumneavoastră devine inaccesibil pentru acei vizitatori până la rezolvarea problemei.
• includeSubDomains afectează tot ce se află sub domeniul dumneavoastră. Un subdomeniu vechi fără certificat, de exemplu o pagină de imprimantă sau de cameră pe camera.example.com, nu mai poate fi deschis după aceea.
• Construiți-l treptat. Începeți cu un max-age scurt (de exemplu o zi), verificați dacă totul funcționează și creșteți-l treptat până la un an. Așteptați la fiecare pas întreaga perioadă.

Un antet HSTS primit prin http obișnuit este ignorat de browser. Prin urmare îl veți vedea doar în răspunsul https.

Stratul 4: antete de securitate

Pe lângă HSTS, există câteva antete care spun browserului ce are voie și ce nu are voie să facă cu paginile dumneavoastră. Nu este nevoie să le aveți pe toate perfecte, dar primele trei sunt simple și fără riscuri.

O Content-Security-Policy completă este cea mai puternică măsură, dar și cea mai dificilă: o regulă prea strictă vă poate strica statisticile, butonul de plată sau fereastra de chat. Cu varianta Content-Security-Policy-Report-Only puteți măsura mai întâi ce ar fi blocat, fără a strica nimic. Lăsați acest aspect în seama dezvoltatorului dumneavoastră de site-uri web sau începeți doar cu frame-ancestors.

Verificarea antetelor dumneavoastră proprii

Deschideți site-ul dumneavoastră într-un browser, apăsați F12 (sau alegeți "Inspectare"), mergeți la fila Rețea, reîncărcați pagina și dați clic pe prima cerere. Sub "Antete de răspuns" (Response Headers) vedeți tot ce trimite serverul. Se poate și din linia de comandă:

curl -sI https://example.com/

Site-ul propriu-zis: CMS, pluginuri și teme

Cele mai bune antete nu ajută dacă software-ul din spatele site-ului dumneavoastră este vulnerabil. Majoritatea site-urilor unor companii mici care sunt sparte nu au fost compromise prin serverul web, ci printr-un plugin învechit, o temă neactualizată de ani de zile sau o parolă slabă de administrator.

• Activați actualizările automate pentru CMS-ul dumneavoastră (de exemplu WordPress, Joomla sau alt sistem) și pentru pluginurile unde este posibil.
• Eliminați pluginurile și temele pe care nu le folosiți; dezactivarea nu este suficientă, fișierele rămân pe server.
• Folosiți pentru autentificarea de administrator o parolă puternică, unică, și autentificare în doi pași (modulul 2), și limitați numărul de încercări de autentificare.
• Păstrați versiunea PHP (sau a altui limbaj) a pachetului dumneavoastră la o versiune care încă primește actualizări (lecția 5.1).

În practică: așa arată

În DirectAdmin, panoul folosit de WebOké, activați mai întâi la domeniul dumneavoastră Secure SSL și apoi Force SSL with https redirect. În același loc se află un comutator pentru HSTS; activați-l abia după ce certificatul funcționează pentru toate numele. La alți furnizori funcționează similar, sau îl configurați din setările CMS-ului dumneavoastră.

Dacă site-ul dumneavoastră rulează pe Apache sau LiteSpeed, puteți seta antetele și în .htaccess:

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Adăugați includeSubDomains doar după ce sunteți sigur că fiecare subdomeniu are https. Verificați după fiecare modificare cu testul de site web de la internet.nl sau cu instrumentele pentru dezvoltatori ale browserului dumneavoastră.

Rezumat

• Un lacăt înseamnă: criptat și numele corect. Nu înseamnă: de încredere.
• Redirecționați întotdeauna http către https, mai întâi pe același nume, și dintr-un singur loc.
• HSTS face ca browserul să rețină că site-ul dumneavoastră funcționează doar prin https; internet.nl consideră un max-age de cel puțin un an (31536000) ca fiind corect. Activați-l abia după ce https funcționează peste tot și construiți-l treptat.
• X-Content-Type-Options: nosniff, frame-ancestors (sau X-Frame-Options) și Referrer-Policy sunt simple; o Content-Security-Policy completă este personalizată.
• Actualizările CMS-ului, pluginurilor și temelor dumneavoastră sunt cel puțin la fel de importante ca antetele.

Test (quiz)

Exercițiu

Exercițiul A4.2: Verificarea protecției domeniului dumneavoastră. Completați numele de domeniu al site-ului dumneavoastră web. Dacă nu aveți unul, folosiți internet.nl. Programul deschide http:// și https:// ale domeniului dumneavoastră și verifică certificatul, redirecționarea către https, HSTS și antetele de securitate. Primiți pentru fiecare punct culoarea verde, portocaliu sau roșu, cu explicație.

Exercițiul D4.2: Actualizarea și curățarea site-ului dumneavoastră web. Autentificați-vă în administrarea site-ului dumneavoastră web, verificați versiunea CMS-ului, a pluginurilor și a temelor dumneavoastră, eliminați ce nu folosiți și activați actualizările automate acolo unde este posibil. Bifați lista de verificare și răspundeți la întrebarea de reflecție.

Lecturi suplimentare

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează în mod similar.

• Activarea, reînnoirea și depanarea certificatului SSL
• Redirecționarea obligatorie a vizitatorilor către https
• Manual DirectAdmin 6.4: Vizitatorii întotdeauna direcționați către https
• Manual DirectAdmin 6.7: Niciun hangslot sau mesajul 'not secure': rezolvarea conținutului mixt
• Manual DirectAdmin 15.10: Web Application Firewall
• Securizarea wp-login.php în WordPress
• Internet.nl, testul site-ului web (independent): https://internet.nl
• RFC 6797, HTTP Strict Transport Security: https://www.rfc-editor.org/rfc/rfc6797
• Lista de preîncărcare HSTS: https://hstspreload.org
• MDN, explicații despre antete (în limba engleză): https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security