Vaše webová stránka: https, HSTS a bezpečnostní hlavičky

Modul 4: E-mail, web a doména · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete zkontrolovat základní zabezpečení Vaší webové stránky: platný certifikát, přesměrování na https, HSTS se správným max-age, nejdůležitější bezpečnostní hlavičky a aktualizaci Vašeho CMS.
Klíčové pojmy: TLS certifikát, https, přesměrování na https, HSTS, max-age, includeSubDomains, preload, HTTP hlavička, Content-Security-Policy, X-Content-Type-Options, frame-ancestors, X-Frame-Options, Referrer-Policy

Co se stane, když někdo otevře Vaši stránku

Když zákazník zadá example.com do adresního řádku, prohlížeč si vyžádá stránku z Vašeho webového serveru. Tato komunikace probíhá přes HTTP. U https je kolem toho zašifrované spojení: TLS. K tomu potřebuje Vaše webová stránka TLS certifikát (často se mu stále říká SSL certifikát). Certifikát dokazuje, že server skutečně patří k example.com, a šifrování zajišťuje, že nikdo cestou nemůže číst obsah ani nic měnit. To je důležité na veřejné wifi, kde nevíte, kdo síť spravuje (lekce 5.3).

U každé odpovědi posílá server kromě samotné stránky také řadu hlaviček: krátké řádky s informacemi a pokyny pro prohlížeč. Na obrazovce je nevidíte, ale z velké části určují, jak bezpečně prohlížeč s Vaší stránkou zachází. Část z nich jsou bezpečnostní hlavičky. V této lekci projdeme čtyři vrstvy: certifikát, přesměrování, HSTS a hlavičky. Poté se krátce podíváme na aktualizaci samotné webové stránky.

Vrstva 1: platný certifikát

Certifikát je v pořádku, pokud splňuje tři podmínky:

1. nevypršela jeho platnost;
2. byl vydán důvěryhodnou certifikační autoritou (kterou prohlížeče znají, jako Let's Encrypt nebo komerční poskytovatel);
3. platí přesně pro název, který návštěvník otevírá: example.com i www.example.com, pokud používáte oba.

Téměř každý poskytovatel hostingu dnes zajišťuje bezplatný certifikát, který se automaticky prodlužuje. Pokud se něco pokazí, je to většinou proto, že doménové jméno ukazuje na jiný server, nebo protože záznam CAA blokuje vydavatele (lekce 4.3).

Důležité je vědět: zámek v prohlížeči nic neříká o důvěryhodnosti stránky. Říká pouze to, že spojení je zašifrované a že certifikát patří k názvu v adresním řádku. Phishingové stránky na mijnbank-veilig.example mají stejně dobře zámek. Proto se v lekci 3.2 naučíte číst doménu.

Vrstva 2: vždy přesměrovat na https

Samotný certifikát nestačí. Kdo otevře http://example.com, například přes starý odkaz nebo pouhým zadáním názvu, musí být automaticky přesměrován na https verzi. Tomu se říká přesměrování (redirect, obvykle se stavovým kódem 301).

Přehledné pořadí je:

http://example.com      ->  https://example.com
https://example.com     ->  https://www.example.com   (pouze pokud používáte www jako hlavní adresu)
http://www.example.com  ->  https://www.example.com

Všimněte si prvního řádku: z http přesměrujte nejprve na https na stejném názvu, až poté případně na www. Prohlížeč tak může přijmout i HSTS pokyn pro holý název. Internet.nl kontroluje přesně toto.

Častou chybou je dvojité přesměrování: v hostingovém panelu i v pluginu nebo v .htaccess. To může vytvořit nekonečnou smyčku ("příliš mnoho přesměrování"). Používejte jedno místo.

Vrstva 3: HSTS

Přesměrování má slabý okamžik: úplně první požadavek jde ještě nezašifrovaně přes http. Útočník ve stejné síti může tento jeden požadavek zachytit a návštěvníka udržet na padělané, nezašifrované verzi. Právě k tomu slouží HSTS (HTTP Strict Transport Security, RFC 6797).

S HSTS Vaše stránka přes https posílá hlavičku:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Prohlížeč si pak zapamatuje: "tuto stránku otevírat pouze přes https, následujících 31 536 000 sekund (jeden rok)". Pokud návštěvník později zadá http://example.com, prohlížeč z toho sám udělá https, ještě předtím, než cokoliv projde sítí. Slabý první požadavek tak odpadá.

Tři věci, které byste měli vědět, než zapnete HSTS:

• Nejprve musí https fungovat všude. Prohlížeč, který si zapamatoval HSTS a narazí na chybu certifikátu, návštěvníkovi nenabídne tlačítko pro pokračování i přesto (RFC 6797, odstavec 12.1). Pokud Vám vyprší certifikát nebo nesedí pro www, je Vaše stránka pro tyto návštěvníky nedostupná, dokud se problém nevyřeší.
• includeSubDomains zasáhne vše pod Vaší doménou. Stará subdoména bez certifikátu, například stránka tiskárny nebo kamery na camera.example.com, pak už nepůjde otevřít.
• Budujte to postupně. Začněte s krátkým max-age (například jeden den), zkontrolujte, zda vše funguje, a postupně zvyšujte až na jeden rok. U každého kroku vyčkejte celou danou dobu.

Hlavičku HSTS, která přijde přes obyčejné http, prohlížeč ignoruje. Uvidíte ji tedy pouze v https odpovědi.

Vrstva 4: bezpečnostní hlavičky

Kromě HSTS existuje několik hlaviček, které prohlížeči říkají, co smí a co nesmí dělat s Vašimi stránkami. Nemusíte mít dokonale vyřešené všechny, ale první tři jsou jednoduché a bez rizika.

Úplná Content-Security-Policy je nejsilnější, ale také nejobtížnější: příliš přísné pravidlo může rozbít Vaši statistiku, platební tlačítko nebo chatové okno. S variantou Content-Security-Policy-Report-Only můžete nejprve změřit, co by bylo zablokováno, aniž byste cokoliv rozbili. Nechte to na svém webovém vývojáři, nebo začněte pouze s frame-ancestors.

Jak si hlavičky sami prohlédnout

Otevřete Vaši stránku v prohlížeči, stiskněte F12 (nebo zvolte "Prozkoumat"), přejděte na záložku Síť, stránku znovu načtěte a klikněte na první požadavek. Pod "Hlavičky odpovědi" (Response Headers) uvidíte vše, co server posílá. Lze to zjistit i přes příkazový řádek:

curl -sI https://example.com/

Samotná webová stránka: CMS, pluginy a šablony

Nejlepší hlavičky nepomohou, pokud je software za Vaší stránkou zranitelný. Většina napadených stránek malých firem nebyla prolomena přes webový server, ale přes zastaralý plugin, šablonu, která se už léta neaktualizuje, nebo slabé heslo administrátora.

• Zapněte automatické aktualizace pro Váš CMS (například WordPress, Joomla nebo jiný systém) a pro pluginy, kde je to možné.
• Odstraňte pluginy a šablony, které nepoužíváte; vypnutí nestačí, soubory tam stále zůstávají.
• Pro administrátorské přihlášení používejte silné, jedinečné heslo a dvoufázové ověření (modul 2) a omezte počet pokusů o přihlášení.
• Udržujte verzi PHP (nebo jiného jazyka) Vašeho balíčku na verzi, která ještě dostává aktualizace (lekce 5.1).

V praxi: takto to vypadá

V DirectAdmin, panelu, který WebOké používá, nejprve u Vaší domény zapněte Bezpečný SSL a poté Vynutit SSL s přesměrováním na https. Na stejném místě je přepínač pro HSTS; zapněte jej až ve chvíli, kdy certifikát funguje pro všechny názvy. U jiných poskytovatelů to funguje podobně, nebo si to nastavíte v nastavení svého CMS.

Pokud Vaše stránka běží na Apache nebo LiteSpeed, můžete hlavičky nastavit také v .htaccess:

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Přidejte includeSubDomains až ve chvíli, kdy máte jistotu, že každá subdoména má https. Po každé změně zkontrolujte výsledek pomocí testu webových stránek na internet.nl nebo pomocí vývojářských nástrojů prohlížeče.

Shrnutí

• Zámek znamená: zašifrováno a správný název. Neznamená: důvěryhodné.
• Http vždy přesměrujte na https, nejprve na stejném názvu, a z jednoho místa.
• HSTS nechá prohlížeč zapamatovat, že Vaše stránka jde pouze přes https; internet.nl považuje max-age alespoň jeden rok (31536000) za dobré. Zapněte to až ve chvíli, kdy https funguje všude, a budujte to postupně.
• X-Content-Type-Options: nosniff, frame-ancestors (nebo X-Frame-Options) a Referrer-Policy jsou jednoduché; úplná Content-Security-Policy je řešení na míru.
• Aktualizace Vašeho CMS, pluginů a šablon jsou přinejmenším stejně důležité jako hlavičky.

Kvíz

Úkol

Úkol A4.2: Kontrola https, HSTS a hlaviček Vaší webové stránky. Zadejte doménové jméno Vaší webové stránky (pokud žádné nemáte, použijte internet.nl). Program otevře http:// a https:// Vaší domény a zkontroluje certifikát, přesměrování na https, HSTS a bezpečnostní hlavičky. U každého bodu dostanete zelenou, oranžovou nebo červenou s vysvětlením.

Úkol D4.2: Aktualizace a úklid Vašeho webu. Přihlaste se do správy Vaší webové stránky, zkontrolujte verzi Vašeho CMS, pluginů a šablon, odstraňte to, co nepoužíváte, a zapněte automatické aktualizace, kde je to možné. Odškrtněte checklist a odpovězte na reflexní otázku.

Doporučená literatura

Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.

• Aktivace, obnova a řešení problémů s SSL certifikátem
• Povinné přesměrování návštěvníků na https
• Příručka k DirectAdmin 6.4: Návštěvníky vždy přesměrovat na https
• Příručka k DirectAdmin 6.7: Žádný zámek nebo 'není zabezpečeno': řešení smíšeného obsahu
• Příručka k DirectAdmin 15.10: Webový aplikační firewall
• Zabezpečení wp-login.php ve WordPressu
• Internet.nl, test webových stránek (nezávislý): https://internet.nl
• RFC 6797, HTTP Strict Transport Security: https://www.rfc-editor.org/rfc/rfc6797
• Seznam HSTS preload: https://hstspreload.org
• MDN, vysvětlení hlaviček (anglicky): https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security