Cette rubrique explique comment configurer le protocole HTTP Strict Transport Security (HSTS). Une fois HSTS configuré, les clients (tels que les navigateurs) ne peuvent établir que des connexions HTTPS avec les points de présence (POP). Cette mesure renforce la sécurité.
Prérequis
Un certificat SSL est configuré. Pour plus d'informations, consultez Configurer un certificat SSL.
Contexte
HSTS est un mécanisme stratégique qui impose aux sites web d'accepter uniquement les connexions HTTPS.
Après configuration de HSTS, lors de la première connexion d'un client à un POP via HTTPS, le POP utilise un en-tête de réponse pour informer le client que seules les requêtes HTTPS sont autorisées pendant une période donnée et bloque les requêtes HTTP. L'en-tête de réponse HSTS suit le format Strict-Transport-Security:max-age=expireTime [;includeSubDomains] [;preload]. Le tableau suivant décrit les paramètres.
|
Paramètre |
Description |
|
max-age |
Durée de vie (TTL) de l'en-tête HSTS, exprimée en secondes. Les clients ne peuvent initier que des requêtes HTTPS durant cette période. |
|
includeSubDomains |
Facultatif. Si vous configurez ce paramètre, HSTS s'applique au nom de domaine et à ses sous-domaines. |
|
preload |
Facultatif. Ce paramètre permet d'ajouter le nom de domaine à la liste de préchargement HSTS du navigateur. |
Le client applique HSTS au nom de domaine jusqu'à l'expiration de la durée de vie spécifiée par le paramètre max-age. Pendant cette période, les requêtes HTTP sont bloquées et converties en requêtes HTTPS.
Après activation de HSTS, les POP redirigent la première requête HTTP initiée par un client vers HTTPS avec un code d'état HTTP 301 afin de prévenir les risques de sécurité, car le paramétrage HSTS n'a pas encore été synchronisé avec les clients.
Limites
Une fois HSTS configuré, les clients ne peuvent accéder aux POP que via HTTPS. Ne configurez pas simultanément une redirection d'URL vers HTTP.
L'en-tête de réponse HSTS s'applique aux réponses aux requêtes HTTPS, mais pas aux réponses aux requêtes HTTP. Avant que HSTS ne prenne effet, vous pouvez configurer une redirection forcée pour rediriger la première requête HTTP d'un client vers HTTPS à l'aide d'une redirection 301. Pour plus d'informations, consultez Configurer la redirection forcée.
HSTS s'applique uniquement aux noms de domaine et non aux adresses IP.
HSTS prend effet côté client. La désactivation de HSTS n'est pas immédiate. Vous devez actualiser le statut HSTS et envoyer ce statut au client lorsque celui-ci initie sa prochaine requête HTTPS.
Procédure
Connectez-vous à la console DCDN.
Dans le volet de navigation de gauche, cliquez sur Domain Names.
Sur la page Domain Names, localisez le nom de domaine cible et cliquez sur Configure.
Dans l'arborescence de navigation de gauche du nom de domaine, cliquez sur HTTPS Settings.
-
Dans la section HSTS, activez HSTS et spécifiez les paramètres Expire In et Include Subdomains.
Expire In : spécifiez la durée de vie (TTL) du cache de l'en-tête de réponse HSTS sur le navigateur. Nous vous recommandons de définir la valeur sur 60. Unité : jours.
Include Subdomains : utilisez cette option avec prudence. Assurez-vous que HTTPS est activé pour tous les sous-domaines du nom de domaine accéléré. Sinon, les sous-domaines deviendront inaccessibles après la redirection des requêtes vers HTTPS.
Cliquez sur OK.