HSTS og sikkerhetsheadere for nettstedet ditt
Ved hver side sender webserveren din med headere: korte linjer med instruksjoner til nettleseren. De bestemmer delvis hvor sikkert nettleseren håndterer nettstedet ditt. Her leser du hva HSTS er, hvilke andre sikkerhetsheadere som finnes, og hvordan du stiller dem inn og tester dem.
Først må nettstedet ditt ha et fungerende sertifikat og sende besøkende til https. Det kan du lese om i Aktivere, fornye og løse problemer med SSL-sertifikat og Tvungen videresending av besøkende til https.
Hva gjør HSTS?
Videresending til https har ett svakt punkt: den første forespørselen via http går fortsatt ukryptert. Noen på samme nettverk, for eksempel på offentlig wifi, kan avskjære den forespørselen. HSTS (HTTP Strict Transport Security) løser dette. Nettstedet ditt sender denne headeren via https:
Strict-Transport-Security: max-age=31536000
Nettleseren husker da at den bare skal åpne nettstedet ditt via https. Skriver en besøkende senere http://, lager nettleseren selv https av det, før noe sendes over nettverket. En HSTS-header som kommer inn via vanlig http, ignorerer nettleseren.
| Del | Betydning |
|---|---|
max-age | Hvor lenge nettleseren husker det, i sekunder. Testen til internet.nl regner minst ett år (31536000) som tilstrekkelig. |
includeSubDomains | Gjelder også for alle underdomener, som shop.dittdomene.nl og mail.dittdomene.nl. |
preload | Du ber om å bli lagt til i listen som er innebygd i nettlesere (hstspreload.org). Da er selv det aller første besøket beskyttet. Dette krever blant annet ett år, includeSubDomains og https på alle underdomener. Å komme ut av listen igjen tar lang tid. |
max-age=0 | Sletter den lagrede instruksjonen igjen, ved neste besøk via https. |
includeSubDomains gjelder det også for hvert underdomene, som en gammel kamera- eller printerside uten sertifikat. Bygg det derfor opp gradvis: begynn med en kort max-age, for eksempel en dag (86400), kontroller at alt fungerer, og øk gradvis til ett år.HSTS hos WebOké
På de fleste av serverne våre sender webserveren HSTS med som standard for hvert nettsted som åpnes via https: Strict-Transport-Security: max-age=31536000. Det er ett år, uten includeSubDomains og uten preload. Det trenger du ikke gjøre noe for. På noen få servere er det ikke på som standard; der slår du det på selv. Om nettstedet ditt allerede sender HSTS, og med hvilken max-age, ser du i utviklerverktøyene i nettleseren din eller i testen til internet.nl (se nedenfor).
HSTS-bryteren i DirectAdmin
I DirectAdmin går du til Domener og klikker på domenenavnet ditt. Er Sikker SSL-tilkobling på, ser du bryteren Aktiver HTTP Strict Transport Security ved HSTS. Klikk deretter på Oppdater for å lagre. Hvordan dette gjøres steg for steg, kan du lese i Alltid send besøkende til https.
Sender nettstedet ditt allerede HSTS, trenger du ikke bryteren. Slå den bare på hvis nettstedet ditt ennå ikke sender HSTS. Still inn HSTS på ett sted: i DirectAdmin eller i .htaccess, ikke begge deler. Får nettleseren to HSTS-headere, bruker den bare den første.
De andre sikkerhetsheaderne
| Header | Mot hva | Verdi å begynne med |
|---|---|---|
X-Content-Type-Options | Nettleseren gjetter selv hva slags fil det er, slik at en opplastet "bilde" kan bli kjørt som et skript. | nosniff (den eneste gyldige verdien) |
Content-Security-Policy: frame-ancestors eller X-Frame-Options | Clickjacking: et annet nettsted laster inn siden din usynlig i en ramme, slik at besøkende uvitende klikker på knappene dine. | frame-ancestors 'self', eller den eldre headeren X-Frame-Options: SAMEORIGIN |
Referrer-Policy | Ved klikk til et annet nettsted sender nettleseren med adressen til forrige side, noen ganger med et søkeord eller ordrenummer i. | strict-origin-when-cross-origin, eller strengere same-origin eller no-referrer. Internet.nl regner bare de strenge verdiene som godkjent. |
Permissions-Policy | Bestemmer hvilke nettleserfunksjoner siden din og innebygde rammer kan bruke, som kamera, mikrofon og posisjon. | camera=(), microphone=(), geolocation=() slår av disse tre. Bruker nettstedet ditt en av disse funksjonene, la den stå ute. |
Content-Security-Policy (fullstendig) | Begrenser hvor skript, stiler og bilder kan lastes fra. Det gjør innsatte skadelige skript (XSS) mye vanskeligere. | Tilpasses per nettsted. Unngå unsafe-inline, unsafe-eval og jokertegn. |
Innstilling i .htaccess
Legg disse linjene øverst i filen .htaccess i mappen public_html for domenet ditt. Lag først en kopi av filen.
<IfModule mod_headers.c> Header always set X-Content-Type-Options "nosniff" Header always set Content-Security-Policy "frame-ancestors 'self'" Header always set Referrer-Policy "strict-origin-when-cross-origin" Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()" # Bare hvis nettstedet ditt ennå ikke sender HSTS (se ovenfor): # Header always set Strict-Transport-Security "max-age=31536000" </IfModule>
Legg til includeSubDomains først når du er sikker på at hvert underdomene har https. Bruker du WordPress, kan du også stille inn headerne med et plugin. Velg et kjent plugin som fortsatt oppdateres, og still inn hver header på ett sted: i pluginet eller i .htaccess.
Content-Security-Policy-Report-Only. Den blokkerer ingenting, men viser i nettleserens konsoll hva som ville blitt blokkert. Overlat dette til nettbyggeren din ved tvil, eller begynn bare med frame-ancestors.Testing
- Internet.nl: fyll inn domenet ditt i nettstedtesten på internet.nl.
- Nettleseren din: åpne nettstedet ditt, trykk F12 (eller velg Inspiser), gå til fanen Nettverk, last siden på nytt og klikk på den første forespørselen. Under Svarheadere (Response Headers) ser du alt serveren din sender med.
- Kommandolinjen:
curl -sI https://dittdomene.nl/viser headerne.
Kontroller etter hver endring at nettstedet, skjemaer og betalingssiden fortsatt fungerer. Hold i tillegg CMS-et, pluginer og temaer oppdatert. Se Sikre wp-login.php i WordPress.
Les mer
- MDN: Strict-Transport-Security (engelsk)
- MDN: Content-Security-Policy (engelsk)
- MDN: Permissions-Policy (engelsk)
- HSTS-preload-listen (engelsk)