Ayuda para añadir includeSubDomains a la cabecera Strict-Transport-Security

Instalación Alojamiento
1

Un cliente utilizó un escáner de seguridad útil y ahora cree que la cabecera Strict-Transport-Security debería incluir ‘includeSubDomains’.

He añadido ambas a app.yml:


  after_ssl:
    - replace:
        filename: /etc/nginx/conf.d/outlets/server/20-https.conf
        from: "max-age=31536000;"
        to:  "max-age=31536000; includeSubDomains;"
    - replace:
        filename: /etc/nginx/conf.d/outlets/discourse/20-https.conf
        from: "max-age=31536000;"
        to:  "max-age=31536000; includeSubDomains;"

- exec: sed -i "s/add_header Strict-Transport-Security 'max-age=31536000';/add_header Strict-Transport-Security \"max-age=31536000; includeSubDomains\" always;/" /etc/nginx/conf.d/outlets/discourse/20-https.conf /etc/nginx/conf.d/outlets/server/20-https.conf

Ninguno parece funcionar. Ejecutar el comando sed en el segundo dentro del contenedor funciona y, después de reiniciar nginx, hace lo que se solicita.

No entiendo por qué no funciona.

Además, esto solía estar en la plantilla, pero parece que se eliminó en 2014, pero algunas publicaciones recientes incluyen cabeceras que muestran includeSubDomains allí.

Estoy perplejo.

1 me gusta
2

Hmm… parece que no obtienes respuesta aquí. ¿Pertenece este tema a Dev o a Installation > Hosting? :thinking:

1 me gusta
3

Bueno, lo moví allí, pero el problema inicial es que alguien afirmó que no establecer includeSubDomains era un problema de seguridad.

Me encantaría que alguien que supiera y se preocupara por si tener includeSubDomains en la cabecera STS era importante pudiera abordar el problema para que quizás pudiera decirle a esta persona que cientos de miles de otros sitios no están de acuerdo y que quizás el script que alguien ejecutó para encontrar estas “fallas de seguridad” está mal.

Así que tal vez debería renombrar esto a “falta de includeSubDomains en la cabecera STS considerado perjudicial”.

2 Me gusta
5

Yo lo llamaría más bien una elección de configuración.

¿El foro está en un dominio raíz o no?

Siempre le digo a la gente que somos muy cautelosos al establecer encabezados que afectan a otros nombres de host en su dominio, y que si quieren tener HSTS en ellos, deberían establecer los encabezados en esos hosts respectivos en su lugar.

La única razón válida que se me ocurre es que no pueden hacerlo, por ejemplo, cuando el foro está en un dominio raíz y el cliente no puede controlar los encabezados HSTS en otros hosts alojados externamente, por ejemplo, si también tienen alojado shopify.example.com. Entonces, básicamente acuden a ti porque eres el camino de menor resistencia :slight_smile:

2 Me gusta
6

No lo está.

Eso es lo que creo que pensé, aunque no pude articularlo.

Gracias. Les diré que, dado que no es el dominio Apex, es una buena práctica que cada host aplique sus propias reglas.

Muchas gracias. Esto es de gran ayuda. Al menos ahora estoy bastante seguro de que lo entiendo.

2 Me gusta
7

Este tema se cerró automáticamente 30 días después de la última respuesta. Ya no se permiten nuevas respuestas.