Duda HTTPS y HSTS

  • Resolved juandyb

    (@juandyb)


    4 days, 18 hours ago

    Hola Fernando,
    Tengo una duda con HTTPS y HSTS.
    Yo tengo la web en Siteground con SGOptimizer instalado y está con cloudflare.
    Leyendo la documentación de Siteground recomienda activar el forzado de HTTPS a nivel de aplicación en vez de en SiteTools.
    La pregunta es, recomiendas desactivarlo en SGOptimized y activarlo en Vigilante y así tener centralizado algo que es de seguridad? Hay alguna diferencia entre ambos?
    Además de activarlo en cloudflare, claro está.

    Por otro lado respecto a HSTS, se debería de activar tanto en cloudflare como en vigilante o solo en cloudflare?
    Muchas gracias!

Viewing 3 replies - 1 through 3 (of 3 total)
  • Plugin Author Fernando Tellado

    (@fernandot)

    1 day, 23 hours ago

    Mi consejo es forzar https cuanto antes mejor, en tu caso en Site Tools > Seguridad > Forzar HTTPS. Activarlo en Speed Optimizer es redundante si lo haces también en Vigilante, uno de los dos sobraría.

    HSTS con un sitio donde esté activado vale, pero si lo haces en CF no desactives CF o tendrás problemas.

    Thread Starter juandyb

    (@juandyb)

    1 day, 13 hours ago

    Mil gracias por la respuesta!
    Respecto a HTTPS lo tenía activado en SGOptimizer. Leyendo la documentación de Siteground aparece que recomiendan activarlo a nivel de aplicación más que en el servidor, por eso lo tenía puesto así.
    Con lo de HSTS haciendo pruebas he visto que CF lo maneja bastante bien porque al cliente no llegan dos cabeceras, si se activa en los dos por accidente la de CF parece que sobreescribe a la de vigilante, cosa que veo bien para que no lleguen cabeceras duplicadas.
    Un saludo,

    Plugin Author Fernando Tellado

    (@fernandot)

    1 day, 13 hours ago

    Más que por las cabeceras es por un importante motivo:

    • HSTS te “compromete” a tener siempre SSL activo durante el periodo configurado, le dice a los navegadores: «Si no tengo HTTPS no permitas acceder a mi web»

    Así que uses el método que uses asegúrate de que no te caduque el certificado

Viewing 3 replies - 1 through 3 (of 3 total)

You must be logged in to reply to this topic.