HTTP Strict Transport Security
HSTS fa ricordare al browser di usare HTTPS per un host. Durata e copertura dei sottodomini richiedono una scelta operativa consapevole.
Ricordare HTTPS per le chiamate future
HTTP Strict Transport Security, o HSTS, viene comunicato con l’intestazione di risposta Strict-Transport-Security. Dopo averla ricevuta su una connessione HTTPS sicura, il browser ricorda di accedere a quell’host solo tramite HTTPS per la durata della politica. I futuri indirizzi HTTP vengono riscritti. HSTS non emette certificati né ripara errori TLS.
Verificare l’ambito prima dell’impostazione
Una risposta HTTPS fittizia di portal.example contiene Strict-Transport-Security: max-age=3600. Il valore di esempio corrisponde a 1 ora e non è un obiettivo generale di produzione. Il browser può memorizzare la regola per quell’host. Omettere poi l’intestazione non annulla subito una regola già memorizzata; la sua validità continua.
Aggiungere includeSubDomains coprirebbe anche gli host subordinati. Prima di ampliare l’ambito, il team deve verificare che tutti i servizi interessati siano disponibili in modo affidabile tramite HTTPS. Un dominio superiore o un host dello stesso livello non viene coperto automaticamente.
Se il browser non ha ancora appreso la regola e non esiste una voce preload adatta, questa politica memorizzata non protegge ancora la prima chiamata HTTP. Il preloading è un processo distinto.
Fonti
Termini correlati
- Cookie HttpOnlyHttpOnly impedisce agli script l’accesso diretto al cookie. Le richieste appropriate possono ancora inviarlo; sessione e permessi vanno verificati.
- Cookie SameSiteSameSite influisce sull’invio dei cookie tra siti. La scelta deve adattarsi ad accesso e navigazione; resta necessaria la protezione CSRF.
- Content Security Policy (CSP)Una CSP può limitare le fonti di script consentite nel browser. Una policy di sola segnalazione osserva le violazioni, senza applicare quelle regole.
- Minimizzazione dei datiLa minimizzazione limita i dati personali a quanto è adeguato, pertinente e necessario per una finalità definita.
- Politica di conservazione dei datiUna politica di conservazione definisce scopo, inizio, durata e fine della memorizzazione. Cancellazioni e copie richiedono una gestione tecnica.
- Crittografia envelopeLa crittografia envelope separa la chiave dei dati da quella che la protegge. File cifrato e chiave dei dati avvolta vanno gestiti insieme.
Il vostro progetto con ASES
Descriveteci il vostro progetto. Vi ricontatteremo con una prima valutazione.