{"id":331,"date":"2021-03-24T18:43:28","date_gmt":"2021-03-24T18:43:28","guid":{"rendered":"https:\/\/steven-philemond.com\/blog\/?p=331"},"modified":"2021-03-24T18:43:29","modified_gmt":"2021-03-24T18:43:29","slug":"installation-hsts","status":"publish","type":"post","link":"https:\/\/steven-philemond.com\/blog\/installation-hsts\/","title":{"rendered":"C&rsquo;est quoi le HSTS et comment le mettre en place sur son site ?"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">En me baladant sur le net \u00e0 vouloir en apprendre plus sur le certificat SSL, je suis tomb\u00e9 sur deux sites : <a rel=\"noreferrer noopener\" href=\"https:\/\/securityheaders.com\/\" target=\"_blank\">https:\/\/securityheaders.com\/<\/a> &amp; <a rel=\"noreferrer noopener\" href=\"https:\/\/snyk.io\/test\/\" target=\"_blank\">https:\/\/snyk.io\/test\/<\/a>. Ces deux sites permettent de conna\u00eetre l&rsquo;\u00e9tat de s\u00e9curit\u00e9 de votre site \u00e0 la mani\u00e8re d&rsquo;un test effectu\u00e9 sur <a rel=\"noreferrer noopener\" href=\"http:\/\/gtmetrix.com\/\" target=\"_blank\">gtmetrix.com<\/a> ou sur Google Page Speed pour savoir si votre site est Google Friendly et rapide \u00e0 charger. A ma grande surprise, moi qui pensais avoir B pour me consoler un minimum dans ma fiert\u00e9 de Webdesigner, j&rsquo;obtenu un grand :<\/p>\n\n\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"123\" height=\"120\" src=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled.png\" alt=\"\" class=\"wp-image-332\"\/><\/figure><\/div>\n\n\n\n<p class=\"has-text-align-center wp-block-paragraph\"> Pas la peine de vous exprimer ma r\u00e9action, je pense que vous l&rsquo;aurez compris aussi. <\/p>\n\n\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"250\" height=\"140\" src=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Westbrook-what.gif\" alt=\"\" class=\"wp-image-333\"\/><figcaption><em>Ma r\u00e9action face aux r\u00e9sultats<\/em><\/figcaption><\/figure><\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Je me suis donc int\u00e9ress\u00e9 de plus pr\u00eat au probl\u00e8me que pouvait pr\u00e9senter les failles de s\u00e9curit\u00e9 de mon site. Dans mes recherches je m&rsquo;aper\u00e7u qu&rsquo;il y avait un protocole qui n&rsquo;apparaissait pas sur mon certificat. C&rsquo;\u00e9tait le HSTS (HTTP-Strict-Transport-Security) <\/p>\n\n\n\n<div class=\"wp-block-getwid-table-of-contents is-style-default\"><ul class=\"wp-block-getwid-table-of-contents__list\"><li><a href=\"#d3b9023a8af2\">HTTP Strict Transport Security (HSTS)<\/a><\/li><li><a href=\"#f41903f68d7f\">Pourquoi installer un certificat HSTS sur mon site internet si la navigation sur mon site est d\u00e9j\u00e0 prot\u00e9g\u00e9 par un certificat SSL (HTTPS) ?<\/a><\/li><li><a href=\"#0b2529bf8614\">Incrustation du m\u00e9canisme S\u00e9curit\u00e9 de transport stricte HTTP : HSTS<\/a><\/li><\/ul><\/div>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"d3b9023a8af2\"><strong>HTTP Strict Transport Security (HSTS)<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Si je prends la d\u00e9finition de\u00a0<a href=\"http:\/\/ssl.com\" class=\"rank-math-link\" target=\"_blank\" rel=\"noopener\">ssl.com<\/a>,il s&rsquo;agit d&rsquo;un <strong>m\u00e9canisme de politique de s\u00e9curit\u00e9 Web qui vise \u00e0 renforcer la protection des sites en\u00a0HTTPS\u00a0contre toutes formes d&rsquo;attaques de r\u00e9trogradation et de d\u00e9tournement de cookies<\/strong>.\u00a0Si un serveur Web est configur\u00e9 pour utiliser\u00a0HSTS, il indiquera aux navigateurs Web d&rsquo;utiliser que des connexions\u00a0HTTPS\u00a0et d&rsquo;interdire l&rsquo;utilisation du protocole HTTP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">C&rsquo;est le cas pour Mozilla Firefox qui est l&rsquo;un des navigateurs les plus s\u00e9curis\u00e9 du march\u00e9 avec lequel il est souvent compliqu\u00e9 d&rsquo;ouvrir un site internet s&rsquo;il ne poss\u00e8de pas de certificat\u00a0SSL. (HTTPS)<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Une chose \u00e0 not\u00e9 est que ce protocole peut \u00e9galement s&rsquo;appliquer \u00e0 tout les sous-domaines de votre site.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"f41903f68d7f\"><strong>Pourquoi installer un certificat HSTS sur mon site internet si la navigation sur mon site est d\u00e9j\u00e0 prot\u00e9g\u00e9 par un certificat SSL (HTTPS) ?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Pour que vous puissiez mieux comprendre l&rsquo;utilit\u00e9 de la politique de s\u00e9curit\u00e9 HSTS, prenons l&rsquo;exemple de cette maison<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"685\" src=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/pexels-pixabay-277667-2-1024x685.jpg\" alt=\"\" class=\"wp-image-334\" srcset=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/pexels-pixabay-277667-2-1024x685.jpg 1024w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/pexels-pixabay-277667-2-300x201.jpg 300w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/pexels-pixabay-277667-2-768x514.jpg 768w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/pexels-pixabay-277667-2-1536x1028.jpg 1536w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/pexels-pixabay-277667-2-2048x1371.jpg 2048w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption>Ne vous m\u00e9prenez  pas. Ce n&rsquo;est pas ma maison&#8230;<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Dans cette maison, on peut y trouver plusieurs types de bien qui sont susceptibles d&rsquo;\u00eatre vol\u00e9\u2026\u00a0(t\u00e9l\u00e9vision, Ordinateur, console de\u00a0jeu etc.).\u00a0Maintenant, je vous pose la question suivante :<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">partir&nbsp;de votre maison en ayant simplement ferm\u00e9 la porte \u00e0 double tour est il suffisant pour qu&rsquo;un cambrioleur ne vous vole pas ?&nbsp;Je ne pense pas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">C&rsquo;est pareil pour votre site.\u00a0Ajouter un certificat\u00a0SSL, Captcha de s\u00e9curit\u00e9 ou des\u00a0<a href=\"https:\/\/steven-philemond.com\/blog\/securite-plugin-wordpress\/\" class=\"rank-math-link\">plugins\u00a0de s\u00e9curit\u00e9s <\/a>comme WP\u00a0Cerber\u00a0n&#8217;emp\u00eache en rien un hacker d&rsquo;intercepter vos cookies, de forcer la redirection de votre site vers un faux site miroir.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">L&rsquo;ajout du certificat&nbsp;HSTS&nbsp;va apporter une protection&nbsp;suppl\u00e9mentaire&nbsp;\u00e0 votre site et imposer une difficult\u00e9 en plus sur votre site.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"0b2529bf8614\"><strong>Incrustation du m\u00e9canisme S\u00e9curit\u00e9 de transport stricte HTTP : HSTS<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Maintenant que l&rsquo;on sait ce qu&rsquo;est le format HSTS, on va proc\u00e9der \u00e0 la configuration de ce protocole sur notre site.<\/p>\n\n\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"548\" height=\"271\" src=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-1.png\" alt=\"\" class=\"wp-image-335\" srcset=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-1.png 548w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-1-300x148.png 300w\" sizes=\"auto, (max-width: 548px) 100vw, 548px\" \/><\/figure><\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Il vous faudra installer le plugin HTTP Header d\u00e9velopper par Dimitar Ivanov pour ajouter le protocole HSTS \u00e0 votre site.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"351\" src=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-2-1024x351.png\" alt=\"\" class=\"wp-image-336\" srcset=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-2-1024x351.png 1024w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-2-300x103.png 300w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-2-768x263.png 768w, https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-2.png 1516w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/figure><\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Apr\u00e8s l&rsquo;avoir install\u00e9, il vous faudra aller sur l&rsquo;onglet R\u00e9glages>HTTP Headers>S\u00e9curit\u00e9 puis rechercher la ligne suivante : Strict-Transport-Security<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bien \u00e9videmment, cocher la case <strong>On,<\/strong> la case <strong>IncludeSudDomaines<\/strong> et s\u00e9lectionner au minimum <strong>2 Years<\/strong> sur max-age.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En langage fran\u00e7ais cela donne :<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00ab\u00a0Je souhaite activit\u00e9 la politique du Strict Transport Security (HSTS), inclure les sous-domaines et activ\u00e9 le HSTS pour au minimum 30 jours (s\u00e9lectionner plus si vous le souhaitez. Moi je vous conseille 2 ans minimum).\u00a0\u00bb<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Voil\u00e0 donc : le r\u00e9sultat apr\u00e8s avoir activer HSTS sur notre site :<\/p>\n\n\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"106\" height=\"110\" src=\"https:\/\/steven-philemond.com\/blog\/wp-content\/uploads\/2021\/03\/Untitled-3.png\" alt=\"\" class=\"wp-image-337\"\/><figcaption>Ta-Da<\/figcaption><\/figure><\/div>\n\n\n\n<p class=\"wp-block-paragraph\">On passe d&rsquo;un terrible F \u00e0 un bon D. Maintenant, gr\u00e2ce au protocole HSTS, votre site est prot\u00e9ger contre les d\u00e9tournements de cookies que les hackers souhaiteraient mettre en place sur votre site WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ne nous r\u00e9jouissons pas trop vite. Il y a encore du chemin \u00e0 parcourir avant que la note approche le A. <\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Je vais vous montrer par la suite ce qu&rsquo;est le X-Frame Options et comment le mettre en place \u00e9galement. (prochainement)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>En me baladant sur le net \u00e0 vouloir en apprendre plus sur le certificat SSL, je suis tomb\u00e9 sur deux sites : https:\/\/securityheaders.com\/ &amp; https:\/\/snyk.io\/test\/. Ces deux sites permettent de conna\u00eetre l&rsquo;\u00e9tat de s\u00e9curit\u00e9 de votre site \u00e0 la mani\u00e8re d&rsquo;un test effectu\u00e9 sur gtmetrix.com ou sur Google Page Speed pour savoir si votre site [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":340,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5,7,6],"tags":[],"class_list":["post-331","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-wordpress","category-securite","category-tutoriel"],"blocksy_meta":{"styles_descriptor":{"styles":{"desktop":"","tablet":"","mobile":""},"google_fonts":[],"version":6}},"_links":{"self":[{"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/posts\/331","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/comments?post=331"}],"version-history":[{"count":5,"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/posts\/331\/revisions"}],"predecessor-version":[{"id":910,"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/posts\/331\/revisions\/910"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/media\/340"}],"wp:attachment":[{"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/media?parent=331"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/categories?post=331"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/steven-philemond.com\/blog\/wp-json\/wp\/v2\/tags?post=331"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}