Activer HSTS sur Nginx (HTTP Strict Transport Security)

//Activer HSTS sur Nginx (HTTP Strict Transport Security)
1/52/53/54/55/5 (1 votes, moyenne: 4,00 sur 5)
Loading...

Activer HSTS sur Nginx (HTTP Strict Transport Security)

Bonjour à tous,

 

Aujourd’hui je vais vous montrer comment activer la fonction HSTS sur Nginx rapidement et pour tous vos virtualhosts présents et futurs.

 

Le HSTS, késako ?

Pour faire simple, le HSTS (HTTP Strict Transport Security) est un entête que nous pouvons rajouter sur les serveurs compatibles HTTPS pour que les échanges entre le visiteur et le serveur se fasse uniquement par le biais du protocole HTTPS.

Ces entêtes forces le navigateur du visiteur (si compatible) à utiliser automatiquement le protocole HTTPS lors de la prochaine visite sur le site. Si le protocole n’est pas disponible ou si le certificat est invalide alors le visiteur se retrouve bloqué par mesure de sécurité.

Cela permets notamment d’éviter les attaques man in the middle de type downgrade qui consiste à passer l’utilisateur victime en http pour pouvoir sniffer ses connexions avec le serveur.

 

Implémentation :

Sous Nginx, l’implémentation est simplissime. Il suffit d’une seule ligne de configuration pour que tous les sites gérés par le serveur soit protégés. Elle n’est pas belle la vie ? 🙂

Dans un premier temps, connectez vous en root sur votre serveur et lancez la ligne de commande suivante pour éditer la configuration de Nginx :

nano /etc/nginx/nginx.conf

 

Recherchez l’ouverture de la balise http { et mettez les lignes suivantes en dessous :

 #HSTS
 add_header Strict-Transport-Security "max-age=15768000; includeSubDomains";

 

Pour information, cette commande envoie l’entête HSTS à vos visiteurs en indiquant une durée de 1 an et en incluant les sous domaines.

Sauvegardez avec un petit Ctrl + O et redémarrez Nginx :

service nginx restart

 

Et voilà, vous venez d’implémenter HSTS sur Nginx avec cette simple modification 🙂

Vous pouvez tester le fonctionnement de HSTS avec le test de Qualys notamment, voilà ce que ça devraie vous donner :

hsts

By |2015-10-06T10:44:00+00:0013 janvier 2015|GNU/Linux|2 Comments

About the Author:

Diplômé d'un BTS SIO SISR et travaillant actuellement en Suisse, je suis passionné par tout ce qui touche à l'informatique et la musique hard rock et métal depuis ma plus tendre enfance. Je suis le créateur et l'unique rédacteur d'Abyss Project, ce blog qui me sert de bloc-notes public en quelque sorte.

2
Poster un Commentaire

avatar
1 Comment threads
1 Thread replies
0 Followers
 
Most reacted comment
Hottest comment thread
2 Comment authors
Nicolas Simondfirefox Recent comment authors

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Plus récents Plus anciens Populaires
firefox
Invité
firefox

bon le probleme est que se hsts m’empeche d’aller sur tout les site tel que YouTube avec Firefox (je suis sur exploreur)donc aurait t’il un moyen de le desactiver(ps je les mis grace a une mise a jour de Windows je crois)merci d’avance