- Redes e Internet -

Habilitar cabeceras hsts en sitios seguros

Lunasoft Consultoria Informática

dejanos a nosotros estas en buenas manos

Un Servicio definitivo. No se tiene que preocupar de nada, más que de contarnos sus problemas y nosotros le aportamos las soluciones más efectivas para su modelo de negocio, tanto en equipos, portatiles, sobremesa, servidores, red, Firewall, VPN, SSL y las ultimas novedades, y con nuestras consultas telemáticas.

El significado de HSTS es HTTP Strict Transport Security, o lo que es lo mismo, traducido al español, HTTP con Seguridad de Transporte Estricta. Se trata de un sistema o política de seguridad implementada con el fin de evitar ataques que tratan de interceptar comunicaciones. Al habilitar las cabeceras HSTS, el servidor web indica que los navegadores web solo pueden interactuar con él utilizando conexiones HTTP seguras, es decir, conexiones HTTPS.

Utilizando estas cabeceras el servidor se comunica con el navegador a través de un campo, como hemos indicado, denominado Strict Transport Security. El sistema HSTS indica un periodo de tiempo durante el cual el agente de usuario accederá al servidor solo de forma segura.

La importancia del protocolo HTTPS

Hoy es muy importante que los sitios web utilicen el protocolo seguro HTTPS. Ya hemos hablado de ello pero en este articulo podés volver a hecharle un vistazo. La seguridad en Internet. En lo que nos ocupa La instalación del mismo requiere de un certificado SSL, que la mayoría de los proveedores de alojamiento proporcionan gratuitamente, al utilizar Lets Encrypt. es muy sencillo y muy rápido de implementar, pero también en algunos casos se puede quedar corto y es necesario utilizar otras alternativas de pago para securizar nuestro sitio.

Cómo habilitar las cabeceras HSTS

Después de llevar a cabo el cambio es cuando se debe realizar la habilitación de las cabeceras HSTS. Si se dispone de un servidor Apache, lo mejor es añadir las líneas siguientes en el archivo .htaccess, dentro del espacio que aloja los archivos:

# Cabecera X-Frame-Options para mejorar la seguridad
Header always append X-Frame-Options SAMEORIGIN

# Cabecera Strict-Transport-Security para indicar la duración de la cabecera HSTS
Header add Strict-Transport-Security "max-age=157680000; includeSubDomains; preload"

# Cabecera X-XSS-Protection para evitar ataques XSS en IE y Chrome
Header set X-XSS-Protection "1; mode=block"

# Cabecera X-Content-Type-Options para evitar que se carguen hojas de estilo o scripts maliciosos
Header set X-Content-Type-Options "nosniff"

# Cabecera Referer-Policy
Header set Referrer-Policy no-referrer-when-downgrade

# Cabecera Content-Security-Policy
Header set Content-Security-Policy "self"

# Cabecera Feature-Policy
Header set Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none'; gyroscope 'none'; magnetometer 'none'; microphone 'none'; payment 'none'; usb 'none'"

Se pueden llevar a cabo algunos cambios en los distinto apartados. Así se puede modificar el valor de max-age y el valor self, correspondiente a la cabecera de Content-Security-Policy, haciéndola más precisa.

Para saber si un sitio web tiene perfectamente habilitadas las cabeceras HSTS, se puede recurrir a multitud de sitios como Security Headers , Woorank por citar algunos, he introducir la URL de la web.

Tras hacerlo se mostrará un recuadro en el que se especifica la valoración del mismo.

Mi Valoración

Cualquier administrador de una página web debe comprobar minuciosamente los sistemas de seguridad de la web, tanto como actualizar y mejorarla y utilizar todos los medios disponibles para llevarlas a cabo, además de que los buscadores, Bing, Google, etc… lo tendrán siempre muy en cuenta.

Da el primer paso nosotros hacemos el resto

Además somos especialistas en las nueva tecnologías,Tiendas Online, certificados web, Dominios, Software de Grabación, video vigilancia, Formación…

Estamos aquí para ayudarle, nuestra experiencia a lo largo de los años nos hace un equipo competitivo y Profesional de todas las necesidades para los particulares y las Pymes.

Ultimas Noticias

ABD

1 octubre, 2023

– Formación – Administración de sistemas gestores de bases de datos ( abr ) Lunasoft Consultoria Informática dejanos a nosotros estas en buenas manos Un

Sai Online, Interactivo y Offline

3 noviembre, 2020

– Hardware – SAIS Online-Offline-Interactivo ¿Qué es un SAI? Un SAI es un Sistema de Alimentación Ininterrumpida, estos aparatos de protección contra problemas eléctricos y