Votre site web : https, HSTS et en-têtes de sécurité

Module 4: E-mail, site web et domaine · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous serez capable de vérifier la sécurité de base de votre site web : un certificat valide, la redirection vers https, HSTS avec un bon max-age, les principaux en-têtes de sécurité et la mise à jour de votre CMS.
Notions clés : certificat TLS, https, redirection vers https, HSTS, max-age, includeSubDomains, preload, en-tête HTTP, Content-Security-Policy, X-Content-Type-Options, frame-ancestors, X-Frame-Options, Referrer-Policy

Ce qui se passe quand quelqu'un ouvre votre site

Si un client tape example.com dans la barre d'adresse, le navigateur demande la page à votre serveur web. Cet échange passe par HTTP. Avec https, cet échange est entouré d'une connexion chiffrée : TLS. Pour cela, votre site web a besoin d'un certificat TLS (souvent encore appelé certificat SSL). Le certificat prouve que le serveur correspond réellement à example.com, et le chiffrement garantit que personne ne peut lire ou modifier les échanges en chemin. C'est important sur un wifi public, où vous ne savez pas qui gère le réseau (leçon 5.3).

À chaque réponse, le serveur envoie, en plus de la page elle même, une série d'en-têtes : de courtes lignes d'information et d'instructions pour le navigateur. Vous ne les voyez pas à l'écran, mais elles déterminent en grande partie la façon dont le navigateur traite votre site de manière sécurisée. Certains de ces en-têtes sont des en-têtes de sécurité. Dans cette leçon, nous allons parcourir les quatre niveaux : le certificat, la redirection, HSTS et les en-têtes. Nous verrons ensuite brièvement la mise à jour de votre site web lui même.

Niveau 1 : un certificat valide

Un certificat est correct s'il répond à trois conditions :

1. il n'est pas expiré ;
2. il a été émis par un émetteur de confiance (une autorité de certification reconnue par les navigateurs, comme Let's Encrypt ou un prestataire commercial) ;
3. il est valable pour exactement le nom que le visiteur ouvre : example.com et www.example.com si vous utilisez les deux.

Presque tous les hébergeurs mettent aujourd'hui en place un certificat gratuit qui se renouvelle automatiquement. Si cela ne fonctionne pas, c'est généralement parce que le nom de domaine pointe vers un autre serveur, ou parce qu'un enregistrement CAA bloque l'émetteur (leçon 4.3).

Point important à retenir : un cadenas ne dit rien sur la fiabilité du site. Il indique seulement que la connexion est chiffrée et que le certificat correspond au nom affiché dans la barre d'adresse. Les sites de phishing sur mijnbank-veilig.example affichent eux aussi un cadenas. C'est pourquoi vous apprendrez à lire un domaine dans la leçon 3.2.

Niveau 2 : toujours rediriger vers https

Un certificat seul ne suffit pas. Quelqu'un qui ouvre http://example.com, par exemple via un ancien lien ou simplement en tapant le nom, doit automatiquement être redirigé vers la version https. C'est ce qu'on appelle une redirection (un redirect, généralement avec le code de statut 301).

Un ordre correct est le suivant :

http://example.com      ->  https://example.com
https://example.com     ->  https://www.example.com   (alleen als je www als hoofdadres gebruikt)
http://www.example.com  ->  https://www.example.com

Notez la première ligne : redirigez d'abord de http vers https sur le même nom, puis éventuellement vers www seulement ensuite. Ainsi, le navigateur peut aussi recevoir l'instruction HSTS du nom nu. Internet.nl vérifie précisément ce point.

Une erreur fréquente est la double redirection : dans le panneau d'hébergement et dans une extension ou dans .htaccess. Cela peut provoquer une boucle infinie (« trop de redirections »). N'utilisez qu'un seul emplacement.

Niveau 3 : HSTS

La redirection a un point faible : la toute première requête passe encore en clair via http. Un attaquant présent sur le même réseau peut intercepter cette requête et maintenir le visiteur sur une version falsifiée et non chiffrée. C'est à cela que sert HSTS (HTTP Strict Transport Security, RFC 6797).

Avec HSTS, votre site envoie un en-tête via https :

Strict-Transport-Security: max-age=31536000; includeSubDomains

Le navigateur retient alors : « ouvrir ce site uniquement via https, pendant les 31 536 000 prochaines secondes (un an) ». Si le visiteur tape ensuite http://example.com, le navigateur transforme lui même l'adresse en https, avant même qu'une quelconque requête ne transite par le réseau. La requête initiale vulnérable disparaît ainsi.

Trois éléments à connaître avant d'activer HSTS :

• https doit d'abord fonctionner partout. Un navigateur qui a mémorisé HSTS et qui rencontre une erreur de certificat ne propose aucun bouton pour continuer malgré tout (RFC 6797, paragraphe 12.1). Si votre certificat expire ou ne correspond pas à www, votre site devient inaccessible pour ces visiteurs tant que le problème n'est pas résolu.
• includeSubDomains affecte tout ce qui dépend de votre domaine. Un ancien sous-domaine sans certificat, par exemple une page d'imprimante ou de caméra sur camera.example.com, devient alors inaccessible.
• Montez en puissance progressivement. Commencez par un max-age court (par exemple un jour), vérifiez que tout fonctionne, puis augmentez progressivement jusqu'à un an. Attendez la durée complète à chaque étape.

Un en-tête HSTS reçu via http simple est ignoré par le navigateur. Vous ne le voyez donc que dans la réponse https.

Niveau 4 : en-têtes de sécurité

Outre HSTS, il existe quelques en-têtes qui indiquent au navigateur ce qu'il peut ou ne peut pas faire avec vos pages. Vous n'avez pas besoin de tous les avoir parfaitement configurés, mais les trois premiers sont simples et sans risque.

Une Content-Security-Policy complète est l'option la plus puissante, mais aussi la plus délicate à mettre en œuvre : une règle trop stricte peut casser vos statistiques, votre bouton de paiement ou votre fenêtre de chat. Avec la variante Content-Security-Policy-Report-Only, vous pouvez d'abord mesurer ce qui serait bloqué, sans rien casser. Confiez cette tâche à votre prestataire web, ou commencez uniquement par frame-ancestors.

Observer les en-têtes vous même

Ouvrez votre site dans un navigateur, appuyez sur F12 (ou choisissez « Inspecter »), allez dans l'onglet Réseau, rechargez la page et cliquez sur la première requête. Sous « En-têtes de réponse » (Response Headers), vous voyez tout ce que le serveur envoie. Avec la ligne de commande, c'est également possible :

curl -sI https://example.com/

Le site web lui même : CMS, extensions et thèmes

Les meilleurs en-têtes ne servent à rien si le logiciel derrière votre site est vulnérable. La plupart des sites piratés de petites entreprises n'ont pas été compromis via le serveur web, mais via une extension obsolète, un thème qui n'a plus été mis à jour depuis des années, ou un mot de passe administrateur trop faible.

• Activez les mises à jour automatiques pour votre CMS (par exemple WordPress, Joomla ou un autre système) et pour les extensions, dans la mesure du possible.
• Supprimez les extensions et thèmes que vous n'utilisez pas ; les désactiver ne suffit pas, les fichiers restent présents.
• Utilisez pour la connexion administrateur un mot de passe fort et unique ainsi que l'authentification à deux facteurs (module 2), et limitez le nombre de tentatives de connexion.
• Maintenez la version PHP (ou tout autre langage) de votre installation dans une version qui reçoit encore des mises à jour (leçon 5.1).

En pratique : à quoi cela ressemble

Dans DirectAdmin, le panneau utilisé par WebOké, activez d'abord SSL sécurisé pour votre domaine, puis Forcer SSL avec HTTPS Redirect. Au même endroit se trouve un interrupteur pour HSTS ; n'activez le que lorsque le certificat fonctionne pour tous les noms. Chez d'autres prestataires, le fonctionnement est comparable, ou vous réglez cela dans les paramètres de votre CMS.

Si votre site fonctionne sous Apache ou LiteSpeed, vous pouvez aussi placer les en-têtes dans .htaccess :

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

N'ajoutez includeSubDomains que lorsque vous êtes certain que chaque sous-domaine dispose de https. Vérifiez après chaque modification avec le test de site web d'internet.nl ou avec les outils de développement de votre navigateur.

Résumé

• Un cadenas signifie : chiffré et bon nom. Il ne signifie pas : fiable.
• Redirigez toujours http vers https, d'abord sur le même nom, et à un seul endroit.
• HSTS permet au navigateur de retenir que votre site ne fonctionne que via https ; internet.nl considère un max-age d'au moins un an (31536000) comme correct. Activez le uniquement lorsque https fonctionne partout, et montez en puissance progressivement.
• X-Content-Type-Options: nosniff, frame-ancestors (ou X-Frame-Options) et Referrer-Policy sont simples à mettre en place ; une Content-Security-Policy complète demande une configuration sur mesure.
• Les mises à jour de votre CMS, de vos extensions et de vos thèmes sont au moins aussi importantes que les en-têtes.

Quiz

Exercice

Exercice A4.2 : Vérifier le https, le HSTS et les en-têtes de sécurité de votre site web. Saisissez le nom de domaine de votre site web (si vous n'en avez pas, utilisez internet.nl). Le programme ouvre les versions http:// et https:// de votre domaine et vérifie le certificat, la redirection vers https, HSTS et les en-têtes de sécurité. Vous obtenez pour chaque point un résultat vert, orange ou rouge avec une explication.

Exercice D4.2 : Mettre à jour et nettoyer votre site web. Connectez vous à l'administration de votre site web, vérifiez la version de votre CMS, de vos extensions et de vos thèmes, supprimez ce que vous n'utilisez pas et activez les mises à jour automatiques là où c'est possible. Cochez la liste de vérification et répondez à la question de réflexion.

Pour aller plus loin

Les étapes décrites dans les articles WebOké s'appliquent à l'environnement de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Activer, renouveler et résoudre les problèmes liés au certificat SSL
• Rediriger obligatoirement les visiteurs vers https
• Guide DirectAdmin 6.4: Rediriger toujours les visiteurs vers HTTPS
• Guide DirectAdmin 6.7: Pas de cadenas ou « non sécurisé » : résoudre le contenu mixte
• Guide DirectAdmin 15.10: Pare-feu applicatif web
• Sécuriser wp-login.php de WordPress
• Internet.nl, test de site web (indépendant) : https://internet.nl
• RFC 6797, HTTP Strict Transport Security : https://www.rfc-editor.org/rfc/rfc6797
• Liste de préchargement HSTS : https://hstspreload.org
• MDN, explication des en-têtes (en anglais) : https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security