Implementando HSTS en sitios web






HTTP Strict Transport Security (o Seguridad de transporte HTTP estricta) (HSTS) es un mecanismo de política de seguridad web según la cual un servidor web declara a los agentes de usuario compatibles (por ejemplo,navegadores web) que deben interactuar con ellos solamente mediante conexiones HTTP seguras (es decir, en capas HTTP sobre TLS/SSL -> "HTTPS"). HSTS es un protocolo de normas de IETF y se especifica en el RFC 6797 . La política HSTS1 es comunicada por el servidor al agente de usuario a través de un campo de la cabecera HTTP de respuesta denominado "Strict-Transport-Security". La política HSTS especifica un período de tiempo durante el cual el agente de usuario deberá acceder al servidor sólo en forma segura.


Luego de leer el artículo publicado por Chema Alonso, de titulo: Revisar la configuración HSTS y HPKP en el navegador de Internet para estar más seguro procedí a configurar mi sitio y así darle un toque extra.

Empecemos:

Debes poseer un certificado web valido, recomiendo usar Lets Encrypt. Lets Encrypt es una nueva autoridad de certificación: gratis, automatizada y abierta. Una vez tengas la certificación web valida, puedes procedes a implementar del HSTS.


Lets Encrypt


La Semántica de las cabeceras esta defifina en la RFC 6797

En el .htaccess (debes tener habilitado el módulo headers - "a2enmod headers") escribir lo siguiente:

 Header always set Strict-Transport-Security "max-age=10886400; includeSubDomains; preload" env=HTTPS


En PHP

header('Strict-Transport-Security:max-age=10886400;includeSubDomains;preload');

Ya configurado procedemos a revisar nuestro sitio en: ssllabs.com para verificar que todo lo del certificado funciona correctamente.


ssllabs validación


Una vez hayas realizado estos pasos, ingresa a : https://hstspreload.appspot.com/ y envia tu dominio para la lista blanca de dominios que usan HSTS. De tener algún error el sitio te lo indicará


hstspreload.appspot validación


Más información
Wikipedia
developer.mozilla.org



Otras artículos de interés:

¿Es más seguro Linux que Windows?
En Informática existen tópicos exactamente igual que en todas las disciplinas del conocimiento. En primer lugar quisiera destacar que un tópico no va necesariamente acompañado de una certeza o de una falsedad; simplemente se refiere a lo empleado...
Instalar OpenVPN en Ubuntu
Qué es una VPN Una red privada virtual (virtual private network) es una red de comunicaciones canalizada a través de otra red y dedicada a un uso específico. Para nuestro caso esa otra red es Internet....
Como incluir lista de IP para bloquear en csf.deny
CSF firewall ( http://configserver.com/ ) es un excelente script para manejar nuestro firewall, podemos hacerlo por consola o directamente desde la interface web del CSF, empero por...
Seguridad PHP (principiantes)
PHP es una lengua muy fácil a aprender, y muchos programadores lo aprenden como manera de agregar interactividad a sus Sitio Web. Desafortunadamente, eso significa a menudo los programadores de PHP, especialmente ésos más nuev...
Optimizar tu sitio y acelerar la carga web
Con estos sencillos trucos tu sitio web cargará más rápido y tus usuarios te lo agreceran Herramientas para webmaster https://www.goog...
Crack WiFi con GUI app en Ubuntu
Varias veces me han preguntado como puedo usar determinada wifi que posea clave de acceso. Hay diferentes métodos usando linux, el más sencillo es el siguiente: Instalar los siguientes paquetes por consola: ...
Seguridad Básica en GNU/Linux (I Parte)
En estas páginas nos centraremos en cómo aumentar la seguridad en sistemas basados en el sistema operativo GNU/Linux. Su gratuidad, flexibilidad, potencia, apertura, facilidad para obtención de herramientas y otras muchas virtud...
Convierte tu webcam en una cámara de vigilancia con GNU/Linux
Interesante artículo para crear tu propio sistema de vigilancia local, en tu propia pc, usando UBUNTU Paso 1 Comencemos por descargar los drivers para tu webcam. En este sitio[ ...
Horde 404 error cPanel + centOS
El error es debido a que Horde no puede crear la instancia PDO. Abre consola (terminal) como root y ejecuta: /usr/local/cpanel/bin/update_horde_config Al ejecutarlo te indicará el error o errores ...
fstab (file systems table) - Ubuntu/Linux Mint Derivados
El fichero fstab (file systems table) esta ubicado en /etc/ como parte de la configuración del sistema. La estructura de las instrucciones es de 6 columnas separadas por espacios o tabuladores, su formato es: <dispositivo> &l...

Brindanos
un o una


Redes Sociales

Publicidad

Hostin Web ViSerProject

Categorías


Planeta Vaslibre

Blog Roll


Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • hsts
  • implementando
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sitios
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra