In questo articolo, cercheremo di capire cos’\u00e8 l’errore “HSTS missing from HTTP server” e perch\u00e9 dovrebbe mettere in allarme qualsiasi sito web che utilizza redirect HTTPS. Vi mostreremo come risolvere il problema e fermare gli hacker, in cinque semplici step.<\/p>\n
Guardate la Nostra Video-Guida<\/a> per Risolvere l’Errore HTTP “HSTS Missing From HTTP Server”.<\/h3>\n<\/kinsta-video><\/p>\nIntroduzione all’Errore “HSTS Missing From HTTP Server<\/h2>\n
Per permettere di mantenere i visitatori al sicuro, non \u00e8 raro che i siti eseguano un redirect HTTPS<\/a>. Questo redirect indirizza i visitatori dalla versione HTTP alla versione HTTPS del sito web.<\/p>\nUn utente pu\u00f2 inserire esplicitamente HTTP nella barra degli indirizzi del suo browser o seguire un link che punta ad una versione HTTP del sito. In queste situazioni, un redirect pu\u00f2 impedire a terzi malintenzionati di rubare i dati del visitatore.<\/p>\n
Purtroppo, nessuna tecnologia \u00e8 perfetta. Se il vostro sito utilizza redirect HTTPS, potreste essere vulnerabili ad attacchi Man-In-The-Middle (MITM), noti anche come Secure Sockets Layer (SSL) Stripping<\/a>. In un attacco del genere, l’hacker bloccher\u00e0 la richiesta di redirect e impedir\u00e0 al browser di caricare il vostro sito sul protocollo HTTPS. Come risultato, il visitatore acceder\u00e0 al vostro sito tramite HTTP, il che rende molto pi\u00f9 facile per gli hacker rubare i dati.<\/p>\nIn alternativa, l’attaccante potrebbe intercettare il redirect e inoltrare i visitatori ad una versione clone del vostro sito. A questo punto, l’hacker pu\u00f2 rubare tutti i dati condivisi dall’utente, comprese le password e le informazioni di pagamento. Alcuni hacker potrebbero anche cercare di indurre i visitatori a scaricare un software dannoso.<\/p>\n
Gli hacker potrebbero ancherubare un cookie di sessione su una connessione non protetta, in un attacco noto come cookie hijacking. Questi cookie possono contenere una grande quantit\u00e0 di informazioni, compresi nomi utente, password e persino i dati della carta di credito.<\/p>\n
Per proteggere i visitatori da questi attacchi, consigliamo di attivare HTTP Strict Transport Security (HSTS)<\/a>. Questo protocollo forza il browser ad ignorare qualsiasi richiesta diretta e a caricare il sito su HTTPS.<\/p>\n\nIl Protocollo HSTS (e Perch\u00e9 Utilizzarlo)<\/h3>\n
HSTS \u00e8 una direttiva del server e una policy di sicurezza web. Specificata dall’Internet Engineering Task Force (IETF) nella RFC 6797<\/a>, HSTS stabilisce delle regole di gestione delle connessioni per user agent e browser web per un sito che gira su HTTPS.<\/p>\nA volte, una scansione di sicurezza IT potrebbe segnalare che al vostro sito mancano “HSTS” o le intestazioni “HTTP Strict Transport Security”. Se riscontrate questo errore, allora il vostro sito non sta usando HSTS, il che significa che i vostri redirect HTTPS potrebbero mettere a rischio i vostri visitatori.<\/p>\n
\u00c8 una vulnerabilit\u00e0 classificata a rischio intermedio. Tuttavia, \u00e8 incredibilmente comune e rappresenta un frutto da cogliere facilmente<\/a> per gli aggressori. Se riscontrate questo errore, allora \u00e8 fondamentale affrontarlo con decisione.<\/p>\nAggiungendo l’header di sicurezza HSTS al vostro server, potrete forzare il vostro sito a caricare sul protocollo HTTPS. Questo pu\u00f2 aiutarvi a proteggere il vostro sito<\/a> dal cookie hijacking e dagli attacchi al protocollo. Dato che state potenzialmente rimuovendo un redirect dalla procedura di caricamento, il sito potrebbe anche caricare pi\u00f9 velocemente<\/a>.<\/p>\nC’\u00e8 una possibilit\u00e0 che non abbia riscontrato questo errore ma che siate comunque preoccupati per HSTS. Se non siete sicuri di avere HSTS abilitato, potete analizzare il vostro sito utilizzando uno strumento come Security Headers<\/a>. Basta inserire l’URL del sito e poi cliccare su Scan<\/strong>.<\/p>\n![\"Scansionare](\"https:\/\/kinqsta.com\/wp-content\/uploads\/2021\/12\/security-headers-scan.png\")
Scansionare il sito con Security Headers<\/figcaption><\/figure>\nSecurity Headers controller\u00e0 il vostro sito e mostrer\u00e0 tutte le intestazioni applicate nella sezione Headers <\/strong>. Se compare Strict-Transport-Security, allora il vostro sito \u00e8 protetto. Tuttavia, se questa intestazione non \u00e8 nell’elenco, allora abbiamo del lavoro da fare.<\/p>\nCome Risolvere l’Errore “HSTS Missing From HTTP Server” (in 5 Passi)<\/h2>\n
La vulnerabilit\u00e0 HSTS \u00e8 l’occasione perfetta per gli hacker per rubare dati o ingannare i vostri visitatori spingendoli eseguire azioni pericolose. Ecco come abilitare la policy HSTS e mantenere il vostro sito al sicuro.<\/p>\n
Passo 1: Creare un Backup Manuale<\/h3>\n
Abilitare la policy HSTS rappresenta un cambiamento significativo per il vostro sito web. Per questo motivo, consigliamo di creare un backup<\/a> prima di procedere. Questo vi d\u00e0 la possibilit\u00e0 di ripristinare il sito nell’improbabile eventualit\u00e0 in cui riscontriate qualche problema quando abilitate HSTS.<\/p>\nDa Kinsta forniamo backup quotidiani automatici di WordPress. Ma \u00e8 sempre prudente creare un backup manuale prima di fare qualsiasi cambiamento importante. Per creare questa rete di sicurezza, aprite il cruscotto MyKinsta<\/a> e selezionate il sito web in questione. Poi, fate clic sulla scheda Backup<\/strong>.<\/p>\n![\"La](\"https:\/\/kinqsta.com\/it\/wp-content\/uploads\/sites\/2\/2022\/02\/mykinsta-find-backups-tab.png\")
La scheda Backup in MyKinsta<\/figcaption><\/figure>\nSelezionate quindi la scheda Manuale<\/strong>. Cercate il pulsante Esegui backup adesso<\/strong> e fate clic.<\/p>\n![\"\u201cEsegui](\"https:\/\/kinqsta.com\/it\/wp-content\/uploads\/sites\/2\/2022\/02\/mykinsta-click-manual-backup-button-1-e1654858932964.png\")
\u201cEsegui backup adesso\u201d<\/figcaption><\/figure>\nOra potete aggiungere una breve nota al vostro backup. Questo pu\u00f2 aiutarvi ad identificarlo nella dashboard di MyKinsta.<\/p>\n
Infine, fate clic su Crea backup<\/strong>. Ora genereremo il vostro backup e lo aggiungeremo alla vostra dashboard.<\/p>\nPasso 2: Impostare un Redirect da HTTP a HTTPS<\/h3>\n
Prima di abilitare la policy HSTS, dovrete distribuire un certificato SSL<\/a> sul vostro sito web. Da Kinsta, proteggiamo automaticamente tutti i domini verificati grazie alla nostra integrazione di Cloudflare<\/a>. Questo include certificati SSL gratuiti con supporto wildcard<\/a>. A meno che non richiediate specificamente un certificato personalizzato, non dovrete preoccuparvi di configurare SSL manualmente.<\/p>\nSuccessivamente, dovrete impostare un redirect da HTTP a HTTPS, se non l’avete gi\u00e0 fatto. Per creare questo redirect, basta accedere al cruscotto di MyKinsta e selezionare il vostro sito web. Poi fate clic su Strumenti.<\/strong><\/p>\n![\"La](\"https:\/\/kinqsta.com\/it\/wp-content\/uploads\/sites\/2\/2022\/02\/mykinsta-find-click-tools-tab-1.png\")
La scheda \u201cStrumenti\u201d in MyKinsta<\/figcaption><\/figure>\nNella sezione Forza HTTPS<\/strong>, fate clic sul pulsante Abilita<\/strong>. Ora potete scegliere di utilizzare il vostro dominio primario come destinazione o richiedere di utilizzare un dominio alternativo. Dopo aver preso questa decisione, selezionate Forza HTTPS<\/strong>.<\/p>\nTenete presente che, se utilizzate proxy di terze parti o impostate regole HTTPS personalizzate, forzare HTTPS potrebbe causare errori o altre anomalie. Se riscontrate problemi, potete sempre contattare il nostro team di supporto<\/a>, che sar\u00e0 felice di aiutarvi.<\/p>\nSe il vostro server web utilizza Nginx<\/a>, allora potete reindirizzare tutto il vostro traffico HTTP su HTTPS. Basta aggiungere il seguente codice<\/a> al file di configurazione di Nginx:<\/p>\nserver {\n\nlisten 80;\n\nserver_name domain.com www.domain.com;\n\nreturn 301 https:\/\/domain.com$request_uri;\n\n}<\/code><\/pre>\nIn alternativa, se siete clienti di Kinsta, potete lasciar fare a noi questa modifica. Basta aprire un ticket di supporto<\/a> e farci sapere quale dominio volete venga reindirizzato, e noi ci occuperemo del resto.<\/p>\nPasso 3: Aggiungere l’Header HSTS<\/h3>\n
Ci sono vari tipi di direttive<\/a> e livelli di sicurezza che potete applicare alla vostra intestazione HSTS. Tuttavia, noi consigliamo di aggiungere la direttiva max-age, perch\u00e9 questa stabilisce il tempo, espresso in secondi, per il quale il server web deve consegnare via HTTPS. Questo blocca l’accesso a pagine o sottodomini che possono essere serviti solo via HTTP.<\/p>\nSe utilizzate un server Apache<\/a>, dovrete aprire il vostro file hosts virtuale e aggiungere quanto segue:<\/p>\nHeader always set Strict-Transport-Security max-age=31536000<\/code><\/pre>\nDa Kinsta usiamo server Nginx. Se siete clienti di Kinsta, potete aggiungere quanto segue al vostro file di configurazione di Nginx:<\/p>\n
add_header Strict-Transport-Security: max-age=31536000; includeSubDomains; preload<\/code><\/pre>\nCome sempre, possiamo fare tutto il lavoro per voi. Basta aprire un ticket di supporto chiedendo di aggiungere un’intestazione HSTS al vostro sito. Il nostro team sar\u00e0 felice di apportare questa modifica al vostro file Nginx.<\/p>\n
Passo 4: Inviare il Sito alla HSTS Preload List<\/h3>\n
C’\u00e8 un aspetto negativo importante nella policy HSTS. Un browser deve incontrare l’header HSTS almeno una volta prima di poterlo utilizzare per le successive visite. Questo significa che il vostro pubblico dovr\u00e0 completare il processo di reindirizzamento da HTTP a HTTPS almeno una volta. Durante questo periodo, i visitatori saranno vulnerabili agli attacchi basati sul protocollo.<\/p>\n
Nel tentativo di chiudere questa falla nella sicurezza, Google ha creato la HSTS preload list<\/a>. Questo elenco contiene tutti i siti web che supportano HSTS, che \u00e8 poi inserito in Chrome. Aggiungendo il vostro sito a questo elenco, i visitatori non dovranno pi\u00f9 completare un redirect HTTPS iniziale.<\/p>\nI principali browser internet hanno le proprie liste di precaricamento HSTS, che sono basate sulla lista di Chrome. Per essere idoneo ad entrare in questa lista, il vostro sito deve soddisfare i criteri di presentazione<\/a>. La buona notizia \u00e8 che abbiamo gi\u00e0 verificato tutti questi requisiti, quindi potete procedere e presentare il vostro sito alla HSTS preload list.<\/p>\nUna volta che siete entrati in questa lista, alcuni strumenti di ottimizzazione dei motori di ricerca (SEO)<\/a> potrebbero avvisarvi della presenza di redirect 307<\/a>. Questi si verificano quando qualcuno tenta di accedere al vostro sito attraverso un protocollo HTTP non sicuro. Questo innesca un redirect 307 invece di un redirect 301 permanente<\/a>. Se siete preoccupati di questo, potete utilizzare httpstatus<\/a> per analizzare il vostro sito e verificare se si sta verificando un redirect 301.<\/p>\nPasso 5. Verificare L’Header Strict-Transport-Security<\/h3>\n
Dopo aver aggiunto l’header HSTS, \u00e8 una buona idea verificare che funzioni correttamente. Potete eseguire questo controllo utilizzando gli strumenti web integrati del vostro browser.<\/p>\n
Introduzione all’Errore “HSTS Missing From HTTP Server<\/h2>\n
Per permettere di mantenere i visitatori al sicuro, non \u00e8 raro che i siti eseguano un redirect HTTPS<\/a>. Questo redirect indirizza i visitatori dalla versione HTTP alla versione HTTPS del sito web.<\/p>\n Un utente pu\u00f2 inserire esplicitamente HTTP nella barra degli indirizzi del suo browser o seguire un link che punta ad una versione HTTP del sito. In queste situazioni, un redirect pu\u00f2 impedire a terzi malintenzionati di rubare i dati del visitatore.<\/p>\n Purtroppo, nessuna tecnologia \u00e8 perfetta. Se il vostro sito utilizza redirect HTTPS, potreste essere vulnerabili ad attacchi Man-In-The-Middle (MITM), noti anche come Secure Sockets Layer (SSL) Stripping<\/a>. In un attacco del genere, l’hacker bloccher\u00e0 la richiesta di redirect e impedir\u00e0 al browser di caricare il vostro sito sul protocollo HTTPS. Come risultato, il visitatore acceder\u00e0 al vostro sito tramite HTTP, il che rende molto pi\u00f9 facile per gli hacker rubare i dati.<\/p>\n In alternativa, l’attaccante potrebbe intercettare il redirect e inoltrare i visitatori ad una versione clone del vostro sito. A questo punto, l’hacker pu\u00f2 rubare tutti i dati condivisi dall’utente, comprese le password e le informazioni di pagamento. Alcuni hacker potrebbero anche cercare di indurre i visitatori a scaricare un software dannoso.<\/p>\n Gli hacker potrebbero ancherubare un cookie di sessione su una connessione non protetta, in un attacco noto come cookie hijacking. Questi cookie possono contenere una grande quantit\u00e0 di informazioni, compresi nomi utente, password e persino i dati della carta di credito.<\/p>\n Per proteggere i visitatori da questi attacchi, consigliamo di attivare HTTP Strict Transport Security (HSTS)<\/a>. Questo protocollo forza il browser ad ignorare qualsiasi richiesta diretta e a caricare il sito su HTTPS.<\/p>\n\n HSTS \u00e8 una direttiva del server e una policy di sicurezza web. Specificata dall’Internet Engineering Task Force (IETF) nella RFC 6797<\/a>, HSTS stabilisce delle regole di gestione delle connessioni per user agent e browser web per un sito che gira su HTTPS.<\/p>\n A volte, una scansione di sicurezza IT potrebbe segnalare che al vostro sito mancano “HSTS” o le intestazioni “HTTP Strict Transport Security”. Se riscontrate questo errore, allora il vostro sito non sta usando HSTS, il che significa che i vostri redirect HTTPS potrebbero mettere a rischio i vostri visitatori.<\/p>\n \u00c8 una vulnerabilit\u00e0 classificata a rischio intermedio. Tuttavia, \u00e8 incredibilmente comune e rappresenta un frutto da cogliere facilmente<\/a> per gli aggressori. Se riscontrate questo errore, allora \u00e8 fondamentale affrontarlo con decisione.<\/p>\n Aggiungendo l’header di sicurezza HSTS al vostro server, potrete forzare il vostro sito a caricare sul protocollo HTTPS. Questo pu\u00f2 aiutarvi a proteggere il vostro sito<\/a> dal cookie hijacking e dagli attacchi al protocollo. Dato che state potenzialmente rimuovendo un redirect dalla procedura di caricamento, il sito potrebbe anche caricare pi\u00f9 velocemente<\/a>.<\/p>\n C’\u00e8 una possibilit\u00e0 che non abbia riscontrato questo errore ma che siate comunque preoccupati per HSTS. Se non siete sicuri di avere HSTS abilitato, potete analizzare il vostro sito utilizzando uno strumento come Security Headers<\/a>. Basta inserire l’URL del sito e poi cliccare su Scan<\/strong>.<\/p>\n Security Headers controller\u00e0 il vostro sito e mostrer\u00e0 tutte le intestazioni applicate nella sezione Headers <\/strong>. Se compare Strict-Transport-Security, allora il vostro sito \u00e8 protetto. Tuttavia, se questa intestazione non \u00e8 nell’elenco, allora abbiamo del lavoro da fare.<\/p>\n La vulnerabilit\u00e0 HSTS \u00e8 l’occasione perfetta per gli hacker per rubare dati o ingannare i vostri visitatori spingendoli eseguire azioni pericolose. Ecco come abilitare la policy HSTS e mantenere il vostro sito al sicuro.<\/p>\n Abilitare la policy HSTS rappresenta un cambiamento significativo per il vostro sito web. Per questo motivo, consigliamo di creare un backup<\/a> prima di procedere. Questo vi d\u00e0 la possibilit\u00e0 di ripristinare il sito nell’improbabile eventualit\u00e0 in cui riscontriate qualche problema quando abilitate HSTS.<\/p>\n Da Kinsta forniamo backup quotidiani automatici di WordPress. Ma \u00e8 sempre prudente creare un backup manuale prima di fare qualsiasi cambiamento importante. Per creare questa rete di sicurezza, aprite il cruscotto MyKinsta<\/a> e selezionate il sito web in questione. Poi, fate clic sulla scheda Backup<\/strong>.<\/p>\n Selezionate quindi la scheda Manuale<\/strong>. Cercate il pulsante Esegui backup adesso<\/strong> e fate clic.<\/p>\n Ora potete aggiungere una breve nota al vostro backup. Questo pu\u00f2 aiutarvi ad identificarlo nella dashboard di MyKinsta.<\/p>\n Infine, fate clic su Crea backup<\/strong>. Ora genereremo il vostro backup e lo aggiungeremo alla vostra dashboard.<\/p>\n Prima di abilitare la policy HSTS, dovrete distribuire un certificato SSL<\/a> sul vostro sito web. Da Kinsta, proteggiamo automaticamente tutti i domini verificati grazie alla nostra integrazione di Cloudflare<\/a>. Questo include certificati SSL gratuiti con supporto wildcard<\/a>. A meno che non richiediate specificamente un certificato personalizzato, non dovrete preoccuparvi di configurare SSL manualmente.<\/p>\n Successivamente, dovrete impostare un redirect da HTTP a HTTPS, se non l’avete gi\u00e0 fatto. Per creare questo redirect, basta accedere al cruscotto di MyKinsta e selezionare il vostro sito web. Poi fate clic su Strumenti.<\/strong><\/p>\n Nella sezione Forza HTTPS<\/strong>, fate clic sul pulsante Abilita<\/strong>. Ora potete scegliere di utilizzare il vostro dominio primario come destinazione o richiedere di utilizzare un dominio alternativo. Dopo aver preso questa decisione, selezionate Forza HTTPS<\/strong>.<\/p>\n Tenete presente che, se utilizzate proxy di terze parti o impostate regole HTTPS personalizzate, forzare HTTPS potrebbe causare errori o altre anomalie. Se riscontrate problemi, potete sempre contattare il nostro team di supporto<\/a>, che sar\u00e0 felice di aiutarvi.<\/p>\n Se il vostro server web utilizza Nginx<\/a>, allora potete reindirizzare tutto il vostro traffico HTTP su HTTPS. Basta aggiungere il seguente codice<\/a> al file di configurazione di Nginx:<\/p>\n In alternativa, se siete clienti di Kinsta, potete lasciar fare a noi questa modifica. Basta aprire un ticket di supporto<\/a> e farci sapere quale dominio volete venga reindirizzato, e noi ci occuperemo del resto.<\/p>\n Ci sono vari tipi di direttive<\/a> e livelli di sicurezza che potete applicare alla vostra intestazione HSTS. Tuttavia, noi consigliamo di aggiungere la direttiva max-age, perch\u00e9 questa stabilisce il tempo, espresso in secondi, per il quale il server web deve consegnare via HTTPS. Questo blocca l’accesso a pagine o sottodomini che possono essere serviti solo via HTTP.<\/p>\n Se utilizzate un server Apache<\/a>, dovrete aprire il vostro file hosts virtuale e aggiungere quanto segue:<\/p>\n Da Kinsta usiamo server Nginx. Se siete clienti di Kinsta, potete aggiungere quanto segue al vostro file di configurazione di Nginx:<\/p>\n Come sempre, possiamo fare tutto il lavoro per voi. Basta aprire un ticket di supporto chiedendo di aggiungere un’intestazione HSTS al vostro sito. Il nostro team sar\u00e0 felice di apportare questa modifica al vostro file Nginx.<\/p>\n C’\u00e8 un aspetto negativo importante nella policy HSTS. Un browser deve incontrare l’header HSTS almeno una volta prima di poterlo utilizzare per le successive visite. Questo significa che il vostro pubblico dovr\u00e0 completare il processo di reindirizzamento da HTTP a HTTPS almeno una volta. Durante questo periodo, i visitatori saranno vulnerabili agli attacchi basati sul protocollo.<\/p>\n Nel tentativo di chiudere questa falla nella sicurezza, Google ha creato la HSTS preload list<\/a>. Questo elenco contiene tutti i siti web che supportano HSTS, che \u00e8 poi inserito in Chrome. Aggiungendo il vostro sito a questo elenco, i visitatori non dovranno pi\u00f9 completare un redirect HTTPS iniziale.<\/p>\n I principali browser internet hanno le proprie liste di precaricamento HSTS, che sono basate sulla lista di Chrome. Per essere idoneo ad entrare in questa lista, il vostro sito deve soddisfare i criteri di presentazione<\/a>. La buona notizia \u00e8 che abbiamo gi\u00e0 verificato tutti questi requisiti, quindi potete procedere e presentare il vostro sito alla HSTS preload list.<\/p>\n Una volta che siete entrati in questa lista, alcuni strumenti di ottimizzazione dei motori di ricerca (SEO)<\/a> potrebbero avvisarvi della presenza di redirect 307<\/a>. Questi si verificano quando qualcuno tenta di accedere al vostro sito attraverso un protocollo HTTP non sicuro. Questo innesca un redirect 307 invece di un redirect 301 permanente<\/a>. Se siete preoccupati di questo, potete utilizzare httpstatus<\/a> per analizzare il vostro sito e verificare se si sta verificando un redirect 301.<\/p>\n Dopo aver aggiunto l’header HSTS, \u00e8 una buona idea verificare che funzioni correttamente. Potete eseguire questo controllo utilizzando gli strumenti web integrati del vostro browser.<\/p>\nIl Protocollo HSTS (e Perch\u00e9 Utilizzarlo)<\/h3>\n
Come Risolvere l’Errore “HSTS Missing From HTTP Server” (in 5 Passi)<\/h2>\n
Passo 1: Creare un Backup Manuale<\/h3>\n
Passo 2: Impostare un Redirect da HTTP a HTTPS<\/h3>\n
server {\n\nlisten 80;\n\nserver_name domain.com www.domain.com;\n\nreturn 301 https:\/\/domain.com$request_uri;\n\n}<\/code><\/pre>\nPasso 3: Aggiungere l’Header HSTS<\/h3>\n
Header always set Strict-Transport-Security max-age=31536000<\/code><\/pre>\nadd_header Strict-Transport-Security: max-age=31536000; includeSubDomains; preload<\/code><\/pre>\nPasso 4: Inviare il Sito alla HSTS Preload List<\/h3>\n
Passo 5. Verificare L’Header Strict-Transport-Security<\/h3>\n
![\"Home](\"https:\/\/kinqsta.com\/wp-content\/uploads\/2021\/12\/google-chrome-devtools.png\")