FmindGuia de segurança
Usar sempre HTTPS (HSTS)
Sem HSTS, os navegadores dos seus visitantes podem tentar primeiro a versão não encriptada do seu site, que pode ser intercetada em redes partilhadas, como uma rede Wi-Fi pública.
Quem pode ajudar
O seu fornecedor de alojamento ou o seu programador web
Inspecionar antes de alterar
Siga estes passos para um site ou domínio de e-mail que gere. Preencha os marcadores em maiúsculas com os seus próprios valores. Se um passo se referir a evidências guardadas, faça a verificação gratuita e verifique o seu domínio para abrir o relatório privado. Utilize o nome de anfitrião exato ou o nome de consulta DNS aí indicado.
- Nas ferramentas de programador do navegador (separador Rede), abra a resposta HTTPS da página inicial e anote o valor exato de Strict-Transport-Security e quem o gere. Mantenha qualquer política existente mais forte, incluindo uma definida no domínio principal ou através da lista de pré-carregamento (preload) dos navegadores.
URL: https://YOUR_HOSTNAME/
Cabeçalho de resposta: Strict-Transport-Security
Valor atual e responsável pela política: RECORDO que fazer
Ative o HSTS apenas quando o HTTPS funcionar de forma fiável em todo o site: os navegadores memorizam-no, mesmo depois de o remover. Peça ao seu fornecedor de alojamento o cabeçalho Strict-Transport-Security, primeiro com uma duração curta (max-age=300, cinco minutos), e aumente-a depois gradualmente até, pelo menos, 180 dias (max-age=15552000), idealmente um ano (max-age=31536000). Só acrescente includeSubDomains ou preload quando todos os subdomínios funcionarem em HTTPS: são difíceis de anular.
Como verificar a alteração
Execute novamente esta verificação: este ponto deverá aparecer como «Bom». Depois, confirme que as suas páginas principais continuam a carregar normalmente.
O que esta verificação permite estabelecer
Verificamos que a definição está presente e dura pelo menos 180 dias. Não avaliamos se as suas opções (includeSubDomains, preload) são adequadas ao seu site.