FmindGuida alla sicurezza
Usare sempre HTTPS (HSTS)
Senza HSTS, i browser dei Suoi visitatori possono tentare prima la versione non cifrata del Suo sito, che può essere intercettata su reti condivise come il Wi-Fi pubblico.
Chi può aiutarLa
Il Suo provider di hosting o il Suo sviluppatore web
Verificare prima di modificare
Segua questi passaggi per un sito web o un dominio di posta che gestisce. Completi i segnaposto in maiuscolo con i Suoi valori. Se un passaggio fa riferimento a prove salvate, esegua il controllo gratuito e verifichi il Suo dominio per aprire il rapporto privato. Usi il nome host o il nome di interrogazione DNS esatto indicato lì.
- Negli strumenti per sviluppatori del browser (scheda Rete o Network), apra la risposta HTTPS della home page e annoti il valore esatto di Strict-Transport-Security e chi lo gestisce. Mantenga qualsiasi criterio esistente più rigoroso, compreso uno impostato sul dominio padre o tramite l’elenco di precaricamento (preload) dei browser.
URL: https://YOUR_HOSTNAME/
Intestazione di risposta: Strict-Transport-Security
Valore attuale e responsabile del criterio: RECORDCosa fare
Attivi HSTS solo quando HTTPS funziona in modo affidabile su tutto il sito: i browser lo memorizzano, anche dopo che è stato rimosso. Chieda al Suo provider di hosting l’intestazione Strict-Transport-Security, prima con una durata breve (max-age=300, cinque minuti), poi la aumenti gradualmente fino ad almeno 180 giorni (max-age=15552000), idealmente un anno (max-age=31536000). Aggiunga includeSubDomains o preload solo quando tutti i sottodomini funzionano in HTTPS: sono difficili da annullare.
Come verificare la modifica
Ripeta questo controllo: questa voce dovrebbe indicare Conforme. Poi verifichi che le pagine principali si carichino ancora normalmente.
Cosa può stabilire questo controllo
Verifichiamo che l’impostazione sia presente e duri almeno 180 giorni. Non valutiamo se le sue opzioni (includeSubDomains, preload) sono adatte al Suo sito.