Cos’è l’HSTS? Guida all’HTTP Strict Transport Security

Hai mai temuto che i dati dei visitatori del tuo sito web finissero nelle mani sbagliate? L’HTTP Strict Transport Security (HSTS) è qui per alleviare questi timori. Assicura che i browser scelgano sempre le connessioni HTTPS sicure, riducendo in modo significativo la vulnerabilità del tuo sito alle minacce informatiche.

In questo articolo scoprirai esattamente come funziona l’HSTS, i suoi notevoli vantaggi e i passi pratici per implementarlo in modo efficace. Insieme, ci assicureremo che il tuo sito web rimanga sicuro e affidabile per tutti coloro che lo visitano.

---

Indice dei contenuti

1. Che cos’è l’HSTS?
2. Come funziona l’HSTS?
3. Vantaggi dell’implementazione dell’HSTS
4. Guida passo per passo all’implementazione dell’HSTS
5. Elenco di precaricamento HSTS
6. Sfide comuni e migliori pratiche

---

Che cos’è l’HSTS?

L’HTTP Strict Transport Security (HSTS) è un criterio di sicurezza web che obbliga i browser a connettersi ai siti web utilizzando solo HTTPS. Imponendo connessioni sicure, HSTS protegge gli utenti da minacce come gli attacchi man-in-the-middle, lo stripping SSL e il dirottamento dei cookie.

Prima dell’HSTS, anche se un sito era abilitato all’HTTPS, gli user agent (i browser web) potevano inizialmente tentare di connettersi tramite HTTP non protetto, creando vulnerabilità. Gli aggressori potevano sfruttare questi momenti per intercettare il traffico, reindirizzare gli utenti verso siti dannosi o rubare dati sensibili. L’HSTS risolve questo problema indicando ai browser, tramite un’intestazione speciale, Strict-Transport-Security, di non tentare mai una connessione non sicura dopo la prima visita sicura.

L’implementazione dell’HSTS trasforma la sicurezza del tuo sito eliminando i reindirizzamenti non sicuri e riducendo al minimo le vulnerabilità. È fondamentale per i siti web che gestiscono dati sensibili degli utenti, transazioni finanziarie o che richiedono la conformità alle normative.

È stata introdotta formalmente nel 2012 con l’RFC 6797, stabilendo chiare linee guida per la sua applicazione.

---

Come funziona l’HSTS?

Quando il tuo browser visita per la prima volta un sito web abilitato all’HSTS tramite una connessione sicura HTTPS, il server invia al browser un’intestazione HSTS. Questa intestazione contiene istruzioni fondamentali per le visite future, specificando che qualsiasi tentativo di accesso al sito web tramite HTTP deve essere automaticamente reindirizzato a HTTPS.

Le direttive chiave di un’intestazione HSTS sono:

• max-age: Questa direttiva definisce la durata (in secondi) che i browser devono ricordare per applicare le connessioni HTTPS. Un valore tipico potrebbe essere un anno(31536000 secondi).
• includeSubDomains: Questa direttiva opzionale garantisce che il criterio si applichi anche a tutti i sottodomini, salvaguardando l’intera struttura del dominio.
• preload: Un’altra direttiva opzionale che indica il consenso del tuo dominio a essere incluso nell’elenco di precaricamento del browser, offrendo protezione fin dalla prima visita.

Consideriamo un semplice esempio. Quando un browser si collega a https://example.com, la risposta del server potrebbe includere:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Con questa intestazione, il browser capisce che deve sempre utilizzare HTTPS per questo sito e tutti i suoi sottodomini per un anno. Se in seguito un visitatore tenta di collegarsi tramite http://example.com o un sottodominio come http://sub.example.com, il browser converte automaticamente la richiesta in HTTPS senza mai contattare la versione non sicura.

Un limite dell’HSTS è la potenziale vulnerabilità durante la connessione iniziale se non si utilizza il precaricamento HSTS. Fortunatamente, il precaricamento HSTS risolve questo problema incorporando il dominio negli elenchi integrati dei browser, garantendo connessioni sicure anche durante la prima visita.

---

Vantaggi dell’implementazione dell’HSTS

L’implementazione dell’HSTS offre numerosi vantaggi sia a te che ai visitatori del tuo sito web:

• Maggiore sicurezza: Imponendo l’HTTPS, l’HSTS previene efficacemente le minacce più comuni, come gli attacchi man-in-the-middle (MITM), l’SSL stripping, il cookie hijacking e gli attacchi di downgrade del protocollo. Con l’HSTS attivo, gli aggressori perdono l’opportunità di sfruttare connessioni non sicure, aggiungendo un potente livello di difesa alla tua strategia di sicurezza complessiva.
• Migliora la fiducia e l’esperienza degli utenti: I visitatori si sentono più sicuri nell’interagire con il tuo sito web quando vedono costantemente l’icona di un lucchetto sicuro nel loro browser. Questa maggiore indicazione di sicurezza può ridurre la frequenza di rimbalzo, aumentare la soddisfazione degli utenti e incoraggiare le visite ripetute, favorendo in ultima analisi relazioni più solide con i clienti.
• Vantaggi SEO: Google e gli altri motori di ricerca danno priorità ai siti web sicuri, quindi l ‘utilizzo costante dell’HTTPS può avere un impatto positivo sulla visibilità e sulla reperibilità del tuo sito online. Una migliore visibilità si traduce in un aumento del traffico organico, posizionando il tuo sito web davanti ai concorrenti che non hanno adottato i rigorosi standard HTTPS.
• Conformità alle normative: Le aziende che gestiscono dati sensibili devono rispettare normative rigorose come PCI DSS, GDPR e HIPAA. L’implementazione dell’HSTS è fondamentale per soddisfare questi requisiti, applicando standard di comunicazione sicuri e prevenendo potenziali violazioni dei dati.

---

Guida passo per passo all’implementazione dell’HSTS

Segui questi passi pratici per implementare efficacemente l’HSTS:

1. Preparazione per HTTPS

• Prima di attivare l’HSTS, hai bisogno di un certificato SSL/TLS valido. Procuratene uno da un’autorità di certificazione (CA) affidabile come DigiCert, Sectigo o GeoTrust.
• Dopo aver acquisito il certificato, installalo e configuralo correttamente sul tuo server web, garantendo la compatibilità con i principali browser.
• Verifica accuratamente la funzionalità HTTPS del tuo sito, controllando che tutte le risorse vengano caricate in modo sicuro. Risolvi eventuali avvisi di contenuto misto aggiornando gli URL delle risorse interne ed esterne da HTTP a HTTPS.

2. Configurare le intestazioni HSTS

Dopo aver impostato l’HTTPS, attiva l’intestazione HSTS sul tuo server web:

Apache: Aggiungi quanto segue al tuo file .htaccess o alla configurazione del server:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Riavvia Apache per attivare le modifiche.

Nginx: Inserisci questo nel blocco del tuo server:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Ricarica Nginx per applicare la configurazione.

Microsoft IIS: includi questo punto nel tuo file web.config:

<system.webServer>
<httpProtocol>
<customHeaders>
<add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload"/>
</customHeaders>
</httpProtocol>
</system.webServer>

Salva le modifiche e riavvia IIS per garantire la corretta applicazione.

3. Prova la tua configurazione

• Conferma la tua configurazione HSTS con un test accurato. Strumenti come SSL Dragon’s certificate checker o SecurityHeaders.com consentono di verificare rapidamente la distribuzione degli header e i gradi di sicurezza.
• Per un’ispezione più approfondita, usa gli strumenti di sviluppo del browser. Apri gli strumenti per gli sviluppatori(F12) in Chrome o Firefox, naviga nella scheda Rete e aggiorna la pagina. Controlla le intestazioni di risposta HTTP per verificare la presenza e la correttezza dell’intestazione Strict-Transport-Security.

4. Aumentare gradualmente l’età massima

• All’inizio, inizia con un valore di età massima breve (ad esempio, 300 secondi). Questo approccio prudente aiuta a identificare rapidamente eventuali configurazioni errate senza impattare pesantemente sui tuoi visitatori.
• Aumenta gradualmente questa durata una volta confermata la stabilità, estendendola prima a una settimana(604800 secondi), poi a un mese(2592000 secondi) e infine a un anno o più(31536000 secondi).
• Controlla attentamente ogni fase, esaminando le analisi, i log degli errori e i feedback degli utenti. Risolvi tempestivamente qualsiasi problema segnalato prima di aumentare ulteriormente la durata.

---

Elenco di precaricamento HSTS

L’elenco di precaricamento HSTS è un’importante iniziativa di sicurezza gestita dai principali browser, tra cui Google Chrome, Mozilla Firefox, Safari, Microsoft Edge e Opera. Consente ai browser di caricare i siti web esclusivamente su HTTPS fin dalla prima visita, eliminando le vulnerabilità associate alle connessioni HTTP iniziali.

Aggiungere il tuo dominio all’elenco di precaricamento

Per includere il tuo sito web nell’elenco di precaricamento devi soddisfare alcuni criteri specifici.

1. Innanzitutto, assicurati che il tuo dominio abbia un certificato SSL/TLS valido e correttamente installato e configurato. Inoltre, tutto il traffico HTTP deve essere reindirizzato automaticamente e senza problemi verso HTTPS, evitando tentativi di accesso non sicuri.
2. L’intestazione HSTS stessa deve specificare un valore di età massima consistente (generalmente almeno un anno o 31536000 secondi). Per poter essere inclusa dal browser, deve includere le direttive includeSubDomains e preload.
3. Dopo aver soddisfatto questi criteri, puoi inviare il tuo dominio attraverso il sito ufficiale di invio del preload, hstspreload.org. Una volta approvato, il tuo sito web entra a far parte dell’elenco di preload incorporato nei browser, offrendo una protezione immediata contro potenziali minacce alla sicurezza, anche prima della prima interazione dell’utente con il tuo sito.

Considerazioni importanti

Attenzione: il precaricamento è irreversibile nel breve termine. Se il tuo sito web non è in grado di sostenere un supporto HTTPS continuo, il precaricamento può causare problemi di accessibilità. Testa accuratamente la tua implementazione HTTPS prima di inviare il tuo dominio.

---

Sfide comuni e migliori pratiche

L’implementazione dell’HSTS migliora notevolmente la sicurezza dei siti web, ma può anche introdurre delle sfide. Ecco come puoi affrontare questi problemi comuni in modo efficace:

• Problemi di contenuto misto: Quando alcuni elementi della pagina vengono caricati tramite HTTP non sicuro mentre altri utilizzano HTTPS, i browser avvertono i visitatori, causando confusione o sfiducia. Risolvi questo problema implementando una Content Security Policy (CSP), che indica ai browser di identificare, segnalare e bloccare automaticamente le risorse non sicure. Controlla regolarmente il tuo sito per assicurarti che tutti gli script incorporati, le immagini e le risorse esterne utilizzino costantemente l’HTTPS, garantendo ai visitatori un’esperienza di navigazione sicura senza avvisi.
  
• Scadenza del certificato: Un certificato SSL/TLS scaduto può bloccare completamente i visitatori, soprattutto quando è abilitato l’HSTS, in quanto i browser si rifiutano di connettersi al sito. La durata dei certificati è già stata ridotta a 200 giorni a partire dal 15 marzo 2026, scenderà a 100 giorni il 15 marzo 2027 e a soli 47 giorni a partire dal 15 marzo 2029. Per evitare interruzioni, automatizza l’emissione e il rinnovo dei certificati quando possibile. Le soluzioni basate su ACME sono molto utilizzate a questo scopo e aiutano a mantenere una disponibilità HTTPS continua senza interventi manuali.
  
• Complicazioni del reverse proxy: I reverse proxy o i CDN possono talvolta disturbare la corretta propagazione delle intestazioni HSTS, interferendo potenzialmente con le richieste HTTPS. Per evitare che ciò accada, verifica che il tuo reverse proxy o CDN trasmetta correttamente le intestazioni, mantenendo intestazioni sicure lungo l’intera catena di connessione. Testa regolarmente le intestazioni HSTS utilizzando scanner di sicurezza per verificare la corretta configurazione e l’integrità delle intestazioni, soprattutto dopo modifiche all’infrastruttura o alla configurazione.
  
• Mantenere ambienti non HSTS: Gli ambienti di sviluppo e di staging richiedono in genere l’accesso HTTP per scopi di test e debug. Evita di applicare i criteri HSTS in questi ambienti non di produzione. Utilizza invece domini o sottodomini separati dedicati allo sviluppo o ai test. Questi domini si differenziano chiaramente dai siti di produzione, evitando l’applicazione accidentale di criteri HSTS rigidi che possono interrompere i flussi di lavoro o i processi di test.

---

Fai il primo passo verso una sicurezza a prova di proiettile

Sei pronto a fare il passo successivo? Proteggi il tuo sito web con SSL Dragondi SSL Dragon. Approfitta di una configurazione senza problemi, di prezzi competitivi e di un’assistenza eccezionale. Unisciti alle innumerevoli aziende che stanno già beneficiando di una maggiore sicurezza web! Ottieni oggi stesso il tuo certificato SSL da SSL Dragon e assicurati che il tuo sito web rimanga sicuro, affidabile e conforme.