Este tema describe cómo configurar HTTP Strict Transport Security (HSTS). Una vez configurado HSTS, los clientes, como los navegadores, solo establecen conexiones HTTPS con los puntos de presencia (POP). Esto mejora la seguridad.
Requisitos previos
Ya se configuró un certificado SSL. Para obtener más información, consulte Configure an SSL certificate.
Contexto
HSTS es un mecanismo de políticas que permite a los sitios web aceptar únicamente conexiones HTTPS.
Después de configurar HSTS, la primera vez que un cliente se conecta a un POP mediante HTTPS, el POP utiliza un encabezado de respuesta para informarle que solo se permiten solicitudes HTTPS durante un periodo determinado y bloquea las solicitudes HTTP. El encabezado de respuesta HSTS tiene el formato Strict-Transport-Security:max-age=expireTime [;includeSubDomains] [;preload]. A continuación se describen los parámetros en una tabla.
|
Parámetro |
Descripción |
|
max-age |
El tiempo de vida (TTL) del encabezado HSTS. Unidad: segundos. Durante este periodo, los clientes solo inician solicitudes HTTPS. |
|
includeSubDomains |
Opcional. Si configura este parámetro, HSTS se habilita para el nombre de dominio y sus subdominios. |
|
preload |
Opcional. Este parámetro le permite agregar el nombre de dominio a la lista precargada de HSTS del navegador. |
El cliente aplica HSTS al nombre de dominio hasta que expira el TTL especificado por el parámetro max-age. Durante ese tiempo, las solicitudes HTTP se bloquean y se convierten en solicitudes HTTPS.
Cuando se habilita HSTS, los POP redirigen la primera solicitud HTTP iniciada por un cliente hacia HTTPS con el código de estado HTTP 301. Esto evita riesgos de seguridad mientras la configuración de HSTS aún no se sincroniza con los clientes.
Límites
Una vez configurado HSTS, los clientes acceden a los POP únicamente mediante HTTPS. No configure una redirección de URL hacia HTTP al mismo tiempo.
El encabezado de respuesta HSTS se aplica a las respuestas de solicitudes HTTPS, pero no a las de solicitudes HTTP. Antes de que HSTS surta efecto, configure force redirect para redirigir la primera solicitud HTTP de un cliente hacia HTTPS mediante una redirección 301. Para obtener más información, consulte Configurar force redirect.
HSTS solo se aplica a nombres de dominio, no a direcciones IP.
HSTS surte efecto en los clientes. Deshabilitarlo no tiene un impacto inmediato. Es necesario actualizar el estado de HSTS y enviarlo al cliente cuando este inicie la siguiente solicitud HTTPS.
Procedimiento
Inicie sesión en la consola de DCDN.
En el panel de navegación izquierdo, haga clic en Domain Names.
En la página Domain Names, busque el nombre de dominio deseado y haga clic en Configure.
En el árbol de navegación izquierdo del nombre de dominio, haga clic en HTTPS Settings.
-
En la sección HSTS, habilite HSTS y especifique los parámetros Expire In e Include Subdomains.
Expire In: especifique el TTL para que el encabezado de respuesta HSTS se almacene en caché en el navegador. Se recomienda establecer el valor en 60. Unidad: días.
Include Subdomains: proceda con precaución. Compruebe que HTTPS esté habilitado para todos los subdominios del nombre de dominio acelerado. De lo contrario, los subdominios dejarán de ser accesibles después de que las solicitudes se redirijan a HTTPS.
Haga clic en OK.