Implementando HSTS en sitios web





HTTP Strict Transport Security (o Seguridad de transporte HTTP estricta) (HSTS) es un mecanismo de política de seguridad web según la cual un servidor web declara a los agentes de usuario compatibles (por ejemplo,navegadores web) que deben interactuar con ellos solamente mediante conexiones HTTP seguras (es decir, en capas HTTP sobre TLS/SSL -> "HTTPS"). HSTS es un protocolo de normas de IETF y se especifica en el RFC 6797 . La política HSTS1 es comunicada por el servidor al agente de usuario a través de un campo de la cabecera HTTP de respuesta denominado "Strict-Transport-Security". La política HSTS especifica un período de tiempo durante el cual el agente de usuario deberá acceder al servidor sólo en forma segura.


Luego de leer el artículo publicado por Chema Alonso, de titulo: Revisar la configuración HSTS y HPKP en el navegador de Internet para estar más seguro procedí a configurar mi sitio y así darle un toque extra.

Empecemos:

Debes poseer un certificado web valido, recomiendo usar Lets Encrypt. Lets Encrypt es una nueva autoridad de certificación: gratis, automatizada y abierta. Una vez tengas la certificación web valida, puedes procedes a implementar del HSTS.


Lets Encrypt


La Semántica de las cabeceras esta defifina en la RFC 6797

En el .htaccess (debes tener habilitado el módulo headers - "a2enmod headers") escribir lo siguiente:

 Header always set Strict-Transport-Security "max-age=10886400; includeSubDomains; preload" env=HTTPS


En PHP

header('Strict-Transport-Security:max-age=10886400;includeSubDomains;preload');

Ya configurado procedemos a revisar nuestro sitio en: ssllabs.com para verificar que todo lo del certificado funciona correctamente.


ssllabs validación


Una vez hayas realizado estos pasos, ingresa a : https://hstspreload.appspot.com/ y envia tu dominio para la lista blanca de dominios que usan HSTS. De tener algún error el sitio te lo indicará


hstspreload.appspot validación


Más información
Wikipedia
developer.mozilla.org



Otras artículos de interés:

Sincronizar Carpetas con Google Drive en Linux - Debian, Ubuntu, LinuxMint, Xanadu
Google Drive es el lugar donde se accede a todos tus archivos, incluidos los documentos de Google Docs y los archivos locales que Utiliza Google Drive para guardar todo tipo de archivos, incluidos documentos, presentaciones, música, fotos y víde...
Eliminar archivos o carpetas que tengan mas de x minutos, dias, meses en Linux
Hace unos días un cliente nos solicitó un script para que se eliminase de la carpeta compartida publica temporal en el servidor de la empresa. Serían eliminados aquellos archivos o carpeta que tuviesen más de 30 minutos de haber sido c...
Actualizar al Kernel 3.1 en Ubuntu / LinuxMint
Uso Linux Mint 11 "Katya" con Gnome3 y decidi actualizar el kernel, es un procedimiento bastante sencillo. Entre las mejoras en este kernel están: Controlador de Wiimote de las consolas de Nintendo ...
Convierte tu webcam en una cámara de vigilancia con GNU/Linux
Interesante artículo para crear tu propio sistema de vigilancia local, en tu propia pc, usando UBUNTU Paso 1 Comencemos por descargar los drivers para tu webcam. En este sitio[ ...
Liberar memoria de RAM en Linux desde la consola
Al liberar la memoria de RAM de nuestro computador estaremos quitando toda la información de programas y procesos que habitualmente se ejecutan en el computador, para de esa forma lograr que este tipo de elementos verdaderamente esenciales ...
Actualizar al Kernel 3.7 en Ubuntu / LinuxMint
Entre las novedades de este Kernel .- soporte de la tecnología Network Address Translation (NAT) para el protocolo IPv6 .- inclusión de cambios importantes en los controladores para el hardware gráfico de Int...
Thunar: Opción de Buscar archivos
Por default Thunar no posee la opción de Buscar Archivos, por lo que tenemos que recurrir a este pequeño truco: Instalamos: sudo aptitude install zenity thunar-archive-plugin Creamos...
Razor-Qt el escritorio minimalista
Hace unos días gracias a una nota publicada por Willy Klew en visualbeta.es, conocí a Razor-Qt, pequeño pero poderoso escritorio para GNU/Linux. Según indican trae como nuevo: un editor de políticas de se...
El anonimato en la red
Algo que hay que tener muy en cuenta es que TODAS (sin excepción) las conexiones pueden ser rastreadas. Unas serán mas dificiles que otras pero tarde o temprano podrán ser rastreadas. ...
LXDE el escritorio liviano por excelencia
El escritorio LXDE (Lightweight X11 Desktop Environment) entorno ligero para X11, Lo encontrará diferente con respecto a otros entornos de escritorio, debido a las escasas dependencias entre sus componentes, está desarrollad...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • hsts
  • implementando
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sitios
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra