Implementando HSTS en sitios web





HTTP Strict Transport Security (o Seguridad de transporte HTTP estricta) (HSTS) es un mecanismo de política de seguridad web según la cual un servidor web declara a los agentes de usuario compatibles (por ejemplo,navegadores web) que deben interactuar con ellos solamente mediante conexiones HTTP seguras (es decir, en capas HTTP sobre TLS/SSL -> "HTTPS"). HSTS es un protocolo de normas de IETF y se especifica en el RFC 6797 . La política HSTS1 es comunicada por el servidor al agente de usuario a través de un campo de la cabecera HTTP de respuesta denominado "Strict-Transport-Security". La política HSTS especifica un período de tiempo durante el cual el agente de usuario deberá acceder al servidor sólo en forma segura.


Luego de leer el artículo publicado por Chema Alonso, de titulo: Revisar la configuración HSTS y HPKP en el navegador de Internet para estar más seguro procedí a configurar mi sitio y así darle un toque extra.

Empecemos:

Debes poseer un certificado web valido, recomiendo usar Lets Encrypt. Lets Encrypt es una nueva autoridad de certificación: gratis, automatizada y abierta. Una vez tengas la certificación web valida, puedes procedes a implementar del HSTS.


Lets Encrypt


La Semántica de las cabeceras esta defifina en la RFC 6797

En el .htaccess (debes tener habilitado el módulo headers - "a2enmod headers") escribir lo siguiente:

 Header always set Strict-Transport-Security "max-age=10886400; includeSubDomains; preload" env=HTTPS


En PHP

header('Strict-Transport-Security:max-age=10886400;includeSubDomains;preload');

Ya configurado procedemos a revisar nuestro sitio en: ssllabs.com para verificar que todo lo del certificado funciona correctamente.


ssllabs validación


Una vez hayas realizado estos pasos, ingresa a : https://hstspreload.appspot.com/ y envia tu dominio para la lista blanca de dominios que usan HSTS. De tener algún error el sitio te lo indicará


hstspreload.appspot validación


Más información
Wikipedia
developer.mozilla.org



Otras artículos de interés:

Recuperar Clave ROOT en MySQL
He usado 2 metodos, pero el 2do la mayoría de las veces es el que funciona: Nota: Ambos métodos deben ser realizados por consola (Terminal) Método #1 sudo su...
Activar SNA en Ubuntu / LinuxMint y Derivados
Si posees un adaptador gráficos chip Intel i830-I865G o superior, activa el SNA (Sandy New Bridge Aceleration), puedes mejorar el rendimiento con esto: Abre una consola / terminal: sudo gedit /etc/X11/xorg.conf...
Cómo defender a su empresa de la ingeniería social
La ingeniería social es una de las técnicas de hacking más antiguas de la informática –casi tanto como ella misma– con la que un hacker puede penetrar hasta en los sistemas más difíciles usando la vulnerabilidad más grave de todas: la huma...
Conexión cifrada usando SSH y OpenSSH
Algunas veces es necesario administrar de forma remota un servidor y para ello debemos establecer una comunicación segura entre dicho host y el sistema desde el cual establecemos la conexión. Las sesiones telnet no ofrecen mucha segu...
Actualizar al Kernel 3.3.1 en Ubuntu / LinuxMint
Novedades de Linux 3.3: Inclusión de Android: Los sistemas basados en Android utilizan el núcleo Linux, pero con algunas modificaciones y añadidos propios. Btrfs...
INTRODUCCIÓN A LA CRIPTOGRAFÍA
La palabra Criptografía viene del griego Kryptos, escondido, y Graphos, escritura. Es decir, cuando hablamos de Criptografía estamos hablando de Escritura escondida. Se trata de escribir algo de manera que otra persona que quiera leer lo qu...
Ingeniería Inversa... una alternativa para llegar al conocimiento
Si escribimos en Google.com las palabras Ingeniería Inversa, nos devuelve 328,000 páginas en español y inglés. Este texto no pretende ser un manual de como hacer Ingeniería Inversa solo es un bosquejo para dar una idea general de lo que es....
Crear un LiveCD de tu Ubuntu
En el sitio LinuxZone encontre un interesante artículo que muestra como hacer un LiveCd de nuestro Ubuntu. Para instalarlo ingresamos al sitio: ...
Instalar Kernel 4.7 en Ubuntu - Linux Mint - Xanadu
Hemos publicado en diferentes oportunidades la forma de cambiar el kernel en nuestro Linux, bien sea que usemos Debian, Ubuntu, Linuxt Mint o Xanadu. ...
Inyeccion SQL
¿Qué es la inyección de código SQL y como podemos evitarla? Inyección de código SQL La inyección SQL consiste en la modificación del comportamiento de nuestras consultas mediante la introducción de parámetros no deseados en lo...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • hsts
  • implementando
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sitios
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra