Nessun header HSTS

Il sito non invia l'header HSTS, che indica ai browser di usare sempre HTTPS per il sito. Senza di esso, la prima richiesta di un visitatore può passare su semplice HTTP, dove potrebbe essere intercettata, per esempio su una rete Wi-Fi pubblica.

Cosa significa

HSTS (HTTP Strict Transport Security) è un header di risposta come Strict-Transport-Security: max-age=31536000. Una volta che un browser lo ha visto, usa HTTPS per il sito per quel numero di secondi, anche quando qualcuno digita o clicca un indirizzo http://.

Cosa lo attiva

Una volta alla settimana il controllo Header di sicurezza carica la home page su HTTPS. Se non ha un header Strict-Transport-Security con un max-age maggiore di zero, viene generato questo problema di livello Media. Compare nell'app e non viene inviato via email.

HSTS è anche uno dei sei header che contribuiscono al voto degli header di sicurezza. Vedi Header di sicurezza deboli.

Cause comuni

• Il web server, il piano di hosting o la CDN non lo invia per impostazione predefinita.
• È stato tralasciato quando il sito è passato a HTTPS e non è mai stato aggiunto.
• Viene inviato con max-age=0, che disattiva HSTS.

Come risolverlo

1. Assicurati che l'intero sito funzioni su HTTPS e che il semplice HTTP reindirizzi a esso. Vedi HTTPS non configurato correttamente.
2. Aggiungi Strict-Transport-Security: max-age=31536000 nelle impostazioni del web server, della CDN o dell'hosting. In Cloudflare, per esempio, si trova in SSL/TLS → Edge Certificates.
3. Aggiungi includeSubDomains o preload solo quando tutti i sottodomini funzionano su HTTPS, perché i browser rifiuteranno anche per loro il semplice HTTP, e il preload è difficile da annullare.

Quando si risolve

Il controllo viene eseguito ogni settimana, quindi il problema scompare al controllo settimanale successivo che non rileva più il problema, e la relativa azione esce dal piano d'azione 7 giorni dopo.

Se segni l'azione come fatta e il problema viene ancora rilevato 14 giorni dopo, ricompare come “La correzione non ha funzionato”. Vedi Usare il piano d'azione.