Su sitio web: https, HSTS y cabeceras de seguridad

Módulo 4: Correo electrónico, sitio web y dominio · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá comprobar la seguridad básica de su sitio web: un certificado válido, redirección a https, HSTS con un max-age adecuado, las cabeceras de seguridad más importantes y la actualización de su CMS.
Conceptos clave: certificado TLS, https, redirección a https, HSTS, max-age, includeSubDomains, preload, cabecera HTTP, Content-Security-Policy, X-Content-Type-Options, frame-ancestors, X-Frame-Options, Referrer-Policy

Qué ocurre cuando alguien abre su sitio

Si un cliente escribe example.com en la barra de direcciones, el navegador solicita la página a su servidor web. Esa conversación pasa por HTTP. Con https esa conexión queda envuelta en cifrado: TLS. Para ello su sitio web necesita un certificado TLS (a menudo todavía llamado certificado SSL). El certificado demuestra que el servidor realmente pertenece a example.com, y el cifrado garantiza que nadie pueda leer o modificar el tráfico por el camino. Esto es importante en redes wifi públicas, donde no sabe quién administra la red (lección 5.3).

En cada respuesta, el servidor envía, además de la propia página, una serie de cabeceras: líneas breves con información e instrucciones para el navegador. No las ve en la pantalla, pero determinan en gran medida con qué seguridad trata el navegador su sitio. Una parte de esas cabeceras son cabeceras de seguridad. En esta lección repasamos las cuatro capas: certificado, redirección, HSTS y cabeceras. Después veremos brevemente la actualización de su propio sitio web.

Capa 1: un certificado válido

Un certificado está en orden si cumple tres condiciones:

1. no ha caducado;
2. ha sido emitido por un emisor de confianza (una autoridad de certificación que los navegadores reconocen, como Let's Encrypt o una entidad comercial);
3. es válido para exactamente el nombre que abre el visitante: example.com y www.example.com si usa ambos.

Hoy en día, casi todos los proveedores de alojamiento gestionan un certificado gratuito que se renueva automáticamente. Si algo falla, suele deberse a que el nombre de dominio apunta a otro servidor, o a que un registro CAA bloquea al emisor (lección 4.3).

Es importante saber lo siguiente: un candado no dice nada sobre la fiabilidad del sitio. Solo indica que la conexión está cifrada y que el certificado corresponde al nombre de la barra de direcciones. Los sitios de phishing en mijnbank-veilig.example también tienen candado. Por eso en la lección 3.2 aprenderá a leer el dominio.

Capa 2: redirigir siempre a https

Un certificado por sí solo no basta. Quien abra http://example.com, por ejemplo mediante un enlace antiguo o escribiendo solo el nombre, debe pasar automáticamente a la versión https. Esto se llama redirección (un redirect, normalmente con el código de estado 301).

Un orden correcto es el siguiente:

http://example.com      ->  https://example.com
https://example.com     ->  https://www.example.com   (solo si usa www como dirección principal)
http://www.example.com  ->  https://www.example.com

Fíjese en la primera línea: redirija primero de http a https en el mismo nombre, y solo después, si procede, a www. Así el navegador también puede recibir la instrucción HSTS del nombre sin www. Internet.nl comprueba exactamente esto.

Un error habitual es la doble redirección: en el panel de alojamiento y además en un plugin o en .htaccess. Esto puede provocar un bucle infinito ("demasiadas redirecciones"). Use un único lugar.

Capa 3: HSTS

La redirección tiene un momento débil: la primerísima solicitud todavía va sin cifrar por http. Un atacante en la misma red puede interceptar esa única solicitud y mantener al visitante en una versión falsificada y sin cifrar. Para eso existe HSTS (HTTP Strict Transport Security, RFC 6797).

Con HSTS, su sitio envía una cabecera mediante https:

Strict-Transport-Security: max-age=31536000; includeSubDomains

El navegador recuerda entonces: "este sitio hay que abrirlo solo por https, durante los próximos 31.536.000 segundos (un año)". Si el visitante escribe más tarde http://example.com, el navegador lo convierte él mismo en https, incluso antes de que nada viaje por la red. La primera solicitud débil desaparece.

Tres cosas que debe saber antes de activar HSTS:

• Primero https debe funcionar en todas partes. Un navegador que ha recordado HSTS y detecta un error de certificado no ofrece ningún botón al visitante para continuar de todos modos (RFC 6797, apartado 12.1). Si su certificado caduca o no es válido para www, su sitio quedará inaccesible para esos visitantes hasta que se solucione.
• includeSubDomains afecta a todo lo que esté bajo su dominio. Un subdominio antiguo sin certificado, por ejemplo una página de impresora o de cámara en camera.example.com, dejará de poder abrirse.
• Constrúyalo por etapas. Empiece con un max-age corto (por ejemplo, un día), compruebe que todo funciona, y vaya aumentando por pasos hasta un año. Espere en cada paso todo el periodo correspondiente.

Una cabecera HSTS que llega por http normal es ignorada por el navegador. Por tanto, solo la verá en la respuesta https.

Capa 4: cabeceras de seguridad

Además de HSTS, hay varias cabeceras que indican al navegador qué puede y qué no puede hacer con sus páginas. No es necesario tenerlas todas perfectas, pero las tres primeras son sencillas y no implican ningún riesgo.

Una Content-Security-Policy completa es la más potente, pero también la más complicada: una regla demasiado estricta puede romper sus estadísticas, su botón de pago o su ventana de chat. Con la variante Content-Security-Policy-Report-Only puede medir primero qué se bloquearía, sin romper nada. Deje esto en manos de su desarrollador web, o empiece solo con frame-ancestors.

Ver las cabeceras usted mismo

Abra su sitio en un navegador, pulse F12 (o elija "Inspeccionar"), vaya a la pestaña Red, vuelva a cargar la página y haga clic en la primera solicitud. En "Cabeceras de respuesta" (Response Headers) verá todo lo que envía el servidor. Desde la línea de comandos también es posible:

curl -sI https://example.com/

El propio sitio web: CMS, plugins y temas

Las mejores cabeceras no sirven de nada si el software detrás de su sitio es vulnerable. La mayoría de los sitios de pequeñas empresas que son hackeados no han sido vulnerados a través del servidor web, sino mediante un plugin desactualizado, un tema que lleva años sin actualizarse, o una contraseña de administrador débil.

• Active las actualizaciones automáticas de su CMS (por ejemplo, WordPress, Joomla u otro sistema) y de los plugins que lo permitan.
• Elimine los plugins y temas que no use; desactivarlos no es suficiente, los archivos siguen ahí.
• Use para el inicio de sesión de administrador una contraseña fuerte y única, y verificación en dos pasos (módulo 2), y limite el número de intentos de inicio de sesión.
• Mantenga la versión de PHP (u otro lenguaje) de su paquete en una versión que siga recibiendo actualizaciones (lección 5.1).

En la práctica: así se ve

En DirectAdmin, el panel que usa WebOké, active primero SSL Seguro en su dominio y después Forzar SSL con redirección https. En el mismo lugar hay un interruptor para HSTS; actívelo solo cuando el certificado funcione para todos los nombres. En otros proveedores funciona de forma similar, o puede configurarlo en los ajustes de su CMS.

Si su sitio funciona sobre Apache o LiteSpeed, también puede poner las cabeceras en .htaccess:

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Añada includeSubDomains solo cuando esté seguro de que todos los subdominios tienen https. Compruebe después de cada cambio con la prueba de sitio web de internet.nl o con las herramientas de desarrollador de su navegador.

Resumen

• Un candado significa: cifrado y el nombre correcto. No significa: fiable.
• Redirija siempre http a https, primero en el mismo nombre, y en un único lugar.
• HSTS hace que el navegador recuerde que su sitio solo funciona por https; internet.nl considera correcto un max-age de al menos un año (31536000). Actívelo solo cuando https funcione en todas partes, y constrúyalo por etapas.
• X-Content-Type-Options: nosniff, frame-ancestors (o X-Frame-Options) y Referrer-Policy son sencillas; una Content-Security-Policy completa requiere trabajo a medida.
• Las actualizaciones de su CMS, plugins y temas son, como mínimo, tan importantes como las cabeceras.

Cuestionario

Ejercicio

Ejercicio A4.2: Comprobar https, HSTS y cabeceras de su sitio web. Introduzca el nombre de dominio de su sitio web (si no tiene ninguno, use internet.nl). El programa abre http:// y https:// de su dominio y comprueba el certificado, la redirección a https, HSTS y las cabeceras de seguridad. Recibirá por cada punto un resultado verde, naranja o rojo con explicación.

Ejercicio D4.2: Actualizar y limpiar su sitio web. Inicie sesión en la administración de su sitio web, compruebe la versión de su CMS, plugins y temas, elimine lo que no use y active las actualizaciones automáticas donde sea posible. Marque la lista de comprobación y responda a la pregunta de reflexión.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma similar.

• Activar, renovar y solucionar problemas del certificado SSL
• Redirigir obligatoriamente a los visitantes a https
• Manual de DirectAdmin 6.4: Enviar siempre a los visitantes a https
• Manual de DirectAdmin 6.7: Sin candado o 'no seguro': solucionar el contenido mixto
• Manual de DirectAdmin 15.10: Firewall de Aplicaciones Web
• Proteger wp-login.php de WordPress
• Internet.nl, prueba de sitio web (independiente): https://internet.nl
• RFC 6797, HTTP Strict Transport Security: https://www.rfc-editor.org/rfc/rfc6797
• Lista de precarga HSTS: https://hstspreload.org
• MDN, explicación de las cabeceras (en inglés): https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security