HSTS mancante

Perché conta

Senza l'intestazione HSTS, qualcuno sulla stessa rete wifi aperta può intervenire durante quel primo passo e inviare il visitatore a una pagina falsa. Con HSTS il browser va direttamente su https ogni volta.

Come lo controlla Snaglist

Questa è parte della verifica di sicurezza, un controllo separato accanto alla scansione, in Studio e Bureau, e solo su un sito che hai verificato. Snaglist guarda solo ciò che qualsiasi visitatore può vedere dall'esterno. Non effettua login, non indovina password e non invia attacchi. Legge le intestazioni di risposta della homepage e verifica se è presente Strict-Transport-Security.

Cause frequenti

• L'intestazione non è mai stata attivata
• L'host non la aggiunge di default
• È stata disattivata dopo un problema con un sottodominio

Come risolverlo

1. Assicurati prima che l'intero sito funzioni su https.
2. Aggiungi l'intestazione Strict-Transport-Security con max-age=31536000.
3. Aggiungi includeSubDomains solo se ogni sottodominio funziona su https.
4. Esegui nuovamente la verifica di sicurezza per confermare.

Come appare nel report

Nel report per il tuo cliente appare sotto il titolo "I browser non ricordano che il tuo sito è sicuro". Quando tutto è a posto, il report riporta: "I browser ricordano che il sito è sicuro (HSTS)".