Neste artigo, vamos explorar o que o erro “HSTS Missing From HTTPS Server” \u00e9 e porque ele \u00e9 uma preocupa\u00e7\u00e3o t\u00e3o grande para qualquer site que usa HTTPS redireciona. Ent\u00e3o mostraremos a voc\u00ea como corrigir este problema e enganar os hackers, em cinco passos f\u00e1ceis.<\/p>\n
Confira nosso guia em v\u00eddeo<\/a> para corrigir o erro “HSTS missing From HTTP Server”<\/strong> Para ajudar a manter os visitantes seguros, n\u00e3o \u00e9 raro que os sites realizem redirecionamento HTTPS<\/a>. Este redirecionamento encaminha os visitantes de uma vers\u00e3o HTTP para uma vers\u00e3o HTTPS do site.<\/p>\n Um usu\u00e1rio pode entrar explicitamente no HTTP na barra de endere\u00e7os do seu navegador, ou seguir um link que aponte para uma vers\u00e3o HTTP do site. Nestes cen\u00e1rios, um redirecionamento pode evitar que terceiros maliciosos roubem os dados do visitante.<\/p>\n No entanto, nenhuma tecnologia \u00e9 perfeita. Se o seu site usa HTTPS redireciona, ent\u00e3o voc\u00ea pode estar suscet\u00edvel a um ataque Man-In-The-Middle (MITM) conhecido como Secure Sockets Layer (SSL) Stripping<\/a>. Como parte deste ataque, o hacker ir\u00e1 bloquear o pedido de redirecionamento e impedir que o navegador carregue o seu site sobre o protocolo HTTPS. Como resultado, o visitante ir\u00e1 acessar seu site via HTTP, o que torna muito mais f\u00e1cil para os hackers roubarem dados.<\/p>\n Alternativamente, o atacante pode interceptar o redirecionamento e encaminhar os visitantes para uma vers\u00e3o clone do seu site. Neste ponto, o hacker pode roubar quaisquer dados que o usu\u00e1rio compartilhe, incluindo senhas e informa\u00e7\u00f5es de pagamento. Alguns hackers tamb\u00e9m podem tentar enganar os visitantes para que eles fa\u00e7am o download de softwares maliciosos.<\/p>\n Tamb\u00e9m \u00e9 poss\u00edvel para hackers roubarem um cookie de sess\u00e3o por uma conex\u00e3o n\u00e3o segura, em um ataque conhecido como sequestro de cookies. Estes cookies podem conter uma riqueza de informa\u00e7\u00f5es, incluindo nomes de usu\u00e1rio, senhas e at\u00e9 mesmo detalhes de cart\u00e3o de cr\u00e9dito.<\/p>\n Para proteger seus visitantes contra estes ataques, n\u00f3s recomendamos habilitar o HTTP Strict Transport Security (HSTS<\/a>). Este protocolo for\u00e7a o navegador a ignorar qualquer solicita\u00e7\u00e3o direta e carregar seu site sobre HTTPS.<\/p>\n\n HSTS \u00e9 uma diretiva de servidor e pol\u00edtica de seguran\u00e7a web. Especificado pela Internet Engineering Task Force (IETF) na RFC 6797<\/a>, o HSTS estabelece regulamentos para como os agentes do usu\u00e1rio e navegadores da web devem lidar com suas conex\u00f5es para um site rodando sobre HTTPS.<\/p>\n \u00c0s vezes, um scan de seguran\u00e7a de TI pode informar que seu site est\u00e1 com “falta de cabe\u00e7alhos HSTS” ou “HTTP Strict Transport Security”. Se voc\u00ea encontrar este erro, ent\u00e3o seu site n\u00e3o est\u00e1 usando HSTS, o que significa que seus redirecionamentos HTTPS podem estar colocando seus visitantes em risco.<\/p>\n Isto \u00e9 classificado como uma vulnerabilidade de risco m\u00e9dio. No entanto, \u00e9 incrivelmente comum e representa low hanging fruit<\/a> para os atacantes. Se voc\u00ea encontrar este erro, ent\u00e3o \u00e9 crucial que voc\u00ea o corrija.<\/p>\n Ao adicionar o Security Headers HSTS ao seu servidor, voc\u00ea pode for\u00e7ar o seu site a carregar no protocolo HTTPS. Isto pode ajudar a proteger seu site<\/a> contra o sequestro de cookies e ataques de protocolo. J\u00e1 que voc\u00ea est\u00e1 potencialmente removendo um redirecionamento do procedimento de carregamento, seu site tamb\u00e9m pode carregar mais r\u00e1pido<\/a>.<\/p>\n H\u00e1 uma chance de voc\u00ea n\u00e3o ter encontrado este erro, mas voc\u00ea ainda est\u00e1 preocupado com o HSTS. Se voc\u00ea n\u00e3o tem certeza se voc\u00ea tem o HSTS ativado, voc\u00ea pode escanear seu site usando uma ferramenta como os Security Headers<\/a>.\u00a0Basta digitar a URL do seu site e ent\u00e3o clicar em Scan<\/strong>.<\/p>\n Os Security Headers ir\u00e3o verificar o seu site e exibir todos os cabe\u00e7alhos aplicados na se\u00e7\u00e3o Cabe\u00e7alhos.<\/b>\u00a0Se a Strict-Transport-Security fizer uma apari\u00e7\u00e3o, ent\u00e3o seu site estar\u00e1 protegido. Entretanto, se este cabe\u00e7alho n\u00e3o estiver listado, ent\u00e3o n\u00f3s temos algum trabalho a fazer.<\/p>\n Para os hackers, a vulnerabilidade do HSTS \u00e9 a oportunidade perfeita para roubar dados ou enganar seus visitantes para que realizem a\u00e7\u00f5es perigosas. Veja aqui como ativar a pol\u00edtica do HSTS e manter seu site seguro.<\/p>\n A habilita\u00e7\u00e3o da pol\u00edtica do HSTS representa uma mudan\u00e7a significativa no seu site. Por esta raz\u00e3o, recomendamos a cria\u00e7\u00e3o de um backup sob demanda<\/a> antes de prosseguir. Isto lhe d\u00e1 a op\u00e7\u00e3o de restaurar seu site no improv\u00e1vel evento de voc\u00ea encontrar algum problema ao habilitar o HSTS.<\/p>\n Na Kinsta, n\u00f3s fornecemos backups autom\u00e1ticos di\u00e1rios do WordPress. Entretanto, ainda \u00e9 inteligente criar um backup manual antes de fazer qualquer mudan\u00e7a importante. Para criar esta rede de seguran\u00e7a, entre no seu painel do MyKinsta<\/a> e selecione o site em quest\u00e3o. Em seguida, clique na aba Backups<\/strong>.<\/p>\n A seguir, selecione a aba Manual<\/strong>. Encontre o bot\u00e3o Fazer backup agora<\/strong>, e d\u00ea um clique nele.<\/p>\n Agora voc\u00ea pode adicionar uma pequena nota ao seu backup. Isto pode ajud\u00e1-lo a identific\u00e1-lo em seu painel do MyKinsta.<\/p>\n Finalmente, clique em Criar backup<\/strong>. Agora vamos gerar seu backup e adicion\u00e1-lo ao seu painel.<\/p>\n Antes de ativar a pol\u00edtica do HSTS, voc\u00ea precisar\u00e1 implantar um certificado SSL<\/a> em seu site. Em Kinsta, protegemos automaticamente todos os dom\u00ednios verificados com a nossa integra\u00e7\u00e3o com o Cloudflare<\/a>. Isto inclui certificados SSL gratuitos com suporte a wildcard<\/a>. A menos que voc\u00ea precise especificamente de um certificado personalizado, voc\u00ea n\u00e3o ter\u00e1 que se preocupar em configurar o SSL manualmente.<\/p>\n A seguir, voc\u00ea precisar\u00e1 configurar um redirecionamento HTTP para HTTPS, se ainda n\u00e3o o fez. Para criar este redirecionamento, simplesmente entre no seu painel do MyKinsta e selecione seu site. A seguir, clique em Ferramentas.<\/strong><\/p>\n Na se\u00e7\u00e3o For\u00e7ar HTTPS<\/strong>, clique no bot\u00e3o Habilitar<\/strong>. Agora voc\u00ea pode escolher usar seu dom\u00ednio prim\u00e1rio como destino, ou solicitar o uso de um dom\u00ednio alternativo. Ap\u00f3s tomar esta decis\u00e3o, selecione For\u00e7ar HTTPS<\/strong>.<\/p>\n Apenas esteja ciente de que se voc\u00ea usar qualquer proxy de terceiros ou configurar qualquer regra HTTPS personalizada, ent\u00e3o for\u00e7ar HTTPS pode resultar em erros ou outros comportamentos estranhos. Se voc\u00ea encontrar algum problema, voc\u00ea pode sempre contatar nossa equipe de suporte<\/a> que ficar\u00e1 feliz em ajudar.<\/p>\n Se seu servidor web est\u00e1 rodando Nginx<\/a>, ent\u00e3o voc\u00ea pode redirecionar todo o seu tr\u00e1fego HTTP para HTTPS. Simplesmente adicione o seguinte c\u00f3digo<\/a> ao seu arquivo de configura\u00e7\u00e3o Nginx:<\/p>\n Alternativamente, se voc\u00ea \u00e9 um cliente Kinsta, ent\u00e3o n\u00f3s podemos fazer esta mudan\u00e7a para voc\u00ea. Basta abrir um ticket de suporte<\/a> e nos informar qual dom\u00ednio precisa ser direcionado, e n\u00f3s cuidaremos do resto.<\/p>\n H\u00e1 v\u00e1rios tipos de diretrizes<\/a> e n\u00edveis de seguran\u00e7a que voc\u00ea pode aplicar ao seu cabe\u00e7alho HSTS. Entretanto, n\u00f3s recomendamos adicionar a diretiva de idade m\u00e1xima, pois ela define o tempo em segundos para o qual o servidor web deve entregar via HTTPS. Isto bloqueia o acesso a p\u00e1ginas ou subdom\u00ednios que s\u00f3 podem ser servidos atrav\u00e9s de HTTP.<\/p>\n Se voc\u00ea estiver usando um servidor Apache<\/a>, voc\u00ea precisar\u00e1 abrir seu arquivo de hosts virtuais. Voc\u00ea pode ent\u00e3o adicionar o seguinte:<\/p>\n Na Kinsta, rodamos servidores Nginx. Se voc\u00ea \u00e9 um cliente Kinsta, ent\u00e3o voc\u00ea pode adicionar o seguinte ao seu arquivo de configura\u00e7\u00e3o do Nginx:<\/p>\n Como sempre, podemos fazer todo o trabalho duro por voc\u00ea. Basta abrir um ticket de suporte solicitando que n\u00f3s adicionemos um cabe\u00e7alho HSTS ao seu site. Nossa equipe ficar\u00e1 feliz em fazer esta mudan\u00e7a no seu arquivo Nginx.<\/p>\n H\u00e1 uma grande desvantagem na pol\u00edtica do HSTS. Um navegador tem que encontrar o cabe\u00e7alho do HSTS pelo menos uma vez antes que ele possa us\u00e1-lo para visitas futuras. Isto significa que seu p\u00fablico precisar\u00e1 completar o processo de redirecionamento HTTP para HTTPS pelo menos uma vez. Durante este tempo, eles estar\u00e3o vulner\u00e1veis a ataques baseados em protocolos.<\/p>\n Em uma tentativa de fechar esta lacuna de seguran\u00e7a, o Google criou a lista de pr\u00e9-carregamento do HSTS<\/a>. Esta lista lista todos os sites que suportam o HSTS, que \u00e9 ent\u00e3o codificada em c\u00f3digo duro no Chrome. Ao adicionar seu site a esta lista, os visitantes n\u00e3o ter\u00e3o mais que completar um redirecionamento inicial do HTTPS.<\/p>\n A maioria dos principais navegadores de internet tem suas pr\u00f3prias listas de pr\u00e9-carregamento HSTS, que s\u00e3o baseadas na lista do Chrome. Para ser eleg\u00edvel para esta lista, seu site deve atender aos crit\u00e9rios de submiss\u00e3o<\/a>. A boa not\u00edcia \u00e9 que n\u00f3s j\u00e1 cobrimos todos esses requisitos, ent\u00e3o voc\u00ea pode ir em frente e enviar seu site para a lista de pr\u00e9-carregamento HSTS.<\/p>\n Uma vez que voc\u00ea consiga entrar nesta lista, algumas ferramentas de Search Engine Optimization (SEO)<\/a> podem lhe avisar sobre 307 redirecionamentos<\/a>. Estes redirecionamentos ocorrem quando algu\u00e9m tenta acessar seu site atrav\u00e9s de um protocolo HTTP n\u00e3o seguro. Isto aciona um redirecionamento 307 ao inv\u00e9s de um redirecionamento 301 permanente<\/a>. Se voc\u00ea est\u00e1 preocupado com isso, voc\u00ea pode usar o httpstatus<\/a> para escanear seu site e verificar se um redirecionamento do 301 est\u00e1 ocorrendo.<\/p>\n Depois de adicionar o cabe\u00e7alho HSTS, \u00e9 uma boa ideia testar se ele est\u00e1 funcionando corretamente. Voc\u00ea pode realizar esta verifica\u00e7\u00e3o usando as ferramentas web embutidas no seu navegador.<\/p>\n
\nUma introdu\u00e7\u00e3o ao wrro “HSTS Missing From HTTPS Server”<\/h2>\n
O protocolo HSTS (e porque voc\u00ea pode querer us\u00e1-lo)<\/h3>\n
![\"Digitalize](\"https:\/\/kinsta.com\/wp-content\/uploads\/2021\/12\/security-headers-scan.png\")
Como corrigir o erro “HSTS Missing From HTTPS Server” (em 5 passos)<\/h2>\n
Passo 1: Crie um backup manual<\/h3>\n
![\"Encontre](\"https:\/\/kinsta.com\/pt\/wp-content\/uploads\/sites\/3\/2022\/06\/mykinsta-daily-backups-pt.png\")
![\"Clique](\"https:\/\/kinsta.com\/pt\/wp-content\/uploads\/sites\/3\/2022\/06\/mykinsta-manual-backup-pt.png\")
Passo 2: Configure um redirecionamento HTTP para HTTPS<\/h3>\n
![\"Localizar](\"https:\/\/kinsta.com\/pt\/wp-content\/uploads\/sites\/3\/2022\/06\/mykinsta-tools-pt.png\")
server {\n\nlisten 80;\n\nserver_name domain.com www.domain.com;\n\nreturn 301 https:\/\/domain.com$request_uri;\n\n}<\/code><\/pre>\nPasso 3: Adicione o cabe\u00e7alho HSTS<\/h3>\n
Header always set Strict-Transport-Security max-age=31536000<\/code><\/pre>\nadd_header Strict-Transport-Security \"max-age=31536000; includeSubDomains; preload\";<\/code><\/pre>\nPasso 4: Envie o seu site para a lista de pr\u00e9-carregamento HSTS<\/h3>\n
Passo 5. Verifique o seu cabe\u00e7alho Strict-Transport-Security<\/h3>\n
![\"Kinsta](\"https:\/\/kinsta.com\/wp-content\/uploads\/2021\/12\/google-chrome-devtools.png\")