O que é HSTS?
O HSTS (HTTP Strict-Transport-Security) é um cabeçalho de resposta que informa aos navegadores que o site deve ser apenas acessado por HTTPS ao invés de HTTP. Isso evita possibilidade de ataques man-in-the-middle, pois o navegador não fará requisições HTTP para saber que deve ser redirecionado, ele forçará todas as requisições HTTP a serem HTTPS.
O cabeçalho HSTS permite algumas diretivas:
max-age=<tempo>- Informa para o navegador quanto tempo em segundos o navegador deve continuar acessando o site apenas em HTTPS.includeSubDomains- (opcional) - Informa que essa regra deve ser aplicada para todos os subdomínios desse sitepreload- (opcinal) Informa para serviços Google para fazer o pré-carregamento do HSTS (esta diretiva não é oficial do HSTS)
Como configurar o HSTS no painel?
A configuração de HSTS é feita via SmartRules. Por boas práticas, é interessante possuir regras de redirecionamento HTTP para HTTPS para que a primeira requisição ao site também seja em HTTPS.
Para criar a regra de redirecionamento, acesse a aba Smart Rules -> Redirecionamento do seu painel, e adicione a seguinte regra:
Para criar a regra de redirecionamento, acesse a aba Smart Rules -> Redirecionamento do seu painel, e adicione a seguinte regra:
Com a regra de redirecionamento criada, podemos adicionar a regra para habilitar o HSTS.
Em Smart Rules -> Geral, adicione uma regra para "Definir Cabeçalho de Resposta", e adicione a diretiva que se aplica melhor com o seu caso. Nós vamos criar uma regra que indica que o navegador deve usar HTTPS para todos os subdomínios, por pelo menos um ano.
Em Smart Rules -> Geral, adicione uma regra para "Definir Cabeçalho de Resposta", e adicione a diretiva que se aplica melhor com o seu caso. Nós vamos criar uma regra que indica que o navegador deve usar HTTPS para todos os subdomínios, por pelo menos um ano.
Um ponto de atenção é o domínio que escolhemos, usamos o asterisco para informar qeue queremos todos os subdomínios incluindo o domínio raiz. Caso seja passado um ponto junto do asterisco (*.meusite.com) essa regra só será aplicada para subdomínios.
Caso fique com dúvidas ou tenha algum problema, entre em contato com o nosso suporte. Teremos prazer em ajudá-lo.
E-mail: suporte@gocache.com.br