HSTS manquant

Pourquoi c'est important

Sans l'en-tête HSTS, une personne sur le même réseau wifi ouvert peut s'interposer lors de cette première étape et rediriger le visiteur vers une fausse page. Avec HSTS, le navigateur passe directement en https à chaque fois.

Comment Snaglist le vérifie

Ceci fait partie de la vérification de sécurité, une vérification distincte à côté du crawl, dans Studio et Bureau, et uniquement sur un site que vous avez vérifié. Snaglist examine uniquement ce qu'un visiteur peut voir de l'extérieur. Il ne se connecte jamais, ne devine pas de mots de passe et n'envoie pas d'attaques. Il lit les en-têtes de réponse de la page d'accueil et vérifie la présence de Strict-Transport-Security.

Causes fréquentes

• L'en-tête n'a jamais été activé
• L'hébergeur ne l'ajoute pas par défaut
• Il a été désactivé après un problème avec un sous-domaine

Comment le corriger

1. Assurez-vous d'abord que tout le site fonctionne en https.
2. Ajoutez l'en-tête Strict-Transport-Security avec max-age=31536000.
3. N'ajoutez includeSubDomains que si chaque sous-domaine fonctionne en https.
4. Relancez la vérification de sécurité pour confirmer.

Présentation dans le rapport

Dans le rapport pour votre client, ceci apparaît sous le titre « Les navigateurs ne mémorisent pas que votre site est sécurisé ». Lorsque tout est en ordre, le rapport indique : « Les navigateurs mémorisent que le site est sécurisé (HSTS) ».