Esta página foi traduzida pela API Cloud Translation.

Ativar o HTTPS nos seus servidores

Chris Palmer

Matt Gaunt

Esta página oferece orientações sobre como configurar o HTTPS nos seus servidores, incluindo as seguintes etapas:

Criação de um par de chaves pública/privada RSA de 2048 bits.
Gere uma solicitação de assinatura de certificado (CSR) que incorpore sua chave pública.
Compartilhe sua CSR com a Autoridade Certificadora (AC) para receber um certificado final ou uma cadeia de certificados.
Instale o certificado final em um local não acessível pela Web, como /etc/ssl (Linux e Unix) ou no local indicado pelo IIS (Windows).

Gerar chaves e solicitações de assinatura de certificado

Esta seção usa o programa de linha de comando openssl, que vem com a maioria dos sistemas Linux, BSD e Mac OS X, para gerar chaves públicas e privadas e uma CSR.

Gerar um par de chaves pública/privada

Para começar, gere um par de chaves RSA de 2.048 bits. Uma chave menor pode ser quebrada por ataques de força bruta, e chaves mais longas usam recursos desnecessários.

Use o seguinte comando para gerar um par de chaves RSA:

openssl genrsa -out www.example.com.key 2048

Isso gera o seguinte resultado:

Generating RSA private key, 2048 bit long modulus
.+++
.......................................................................................+++
e is 65537 (0x10001)

Gerar uma solicitação de assinatura de certificado

Nesta etapa, você incorpora sua chave pública e informações sobre sua organização e seu site em uma solicitação de assinatura de certificado, ou CSR. O comando openssl pede os metadados necessários.

Executando o seguinte comando:

openssl req -new -sha256 -key www.example.com.key -out www.example.com.csr

Produz o seguinte:

You are about to be asked to enter information that will be incorporated
into your certificate request

What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CA
State or Province Name (full name) [Some-State]:California
Locality Name (for example, city) []:Mountain View
Organization Name (for example, company) [Internet Widgits Pty Ltd]:Example, Inc.
Organizational Unit Name (for example, section) []:Webmaster Help Center Example
Team
Common Name (e.g. server FQDN or YOUR name) []:www.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Para garantir a validade da CSR, execute este comando:

openssl req -text -in www.example.com.csr -noout

A resposta será parecida com esta:

Certificate Request:
    Data:
        Version: 0 (0x0)
        Subject: C=CA, ST=California, L=Mountain View, O=Google, Inc.,
OU=Webmaster Help Center Example Team,
CN=www.example.com/emailAddress=webmaster@example.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:ad:fc:58:e0:da:f2:0b:73:51:93:29:a5:d3:9e:
                    f8:f1:14:13:64:cc:e0:bc:be:26:5d:04:e1:58:dc:
                    ...
                Exponent: 65537 (0x10001)
        Attributes:
            a0:00
    Signature Algorithm: sha256WithRSAEncryption
         5f:05:f3:71:d5:f7:b7:b6:dc:17:cc:88:03:b8:87:29:f6:87:
         2f:7f:00:49:08:0a:20:41:0b:70:03:04:7d:94:af:69:3d:f4:
         ...

Envie a CSR a uma autoridade certificadora

Cada autoridade certificadora (AC) exige que você envie seus CSRs de maneiras diferentes. Isso pode incluir o uso de um formulário no site ou o envio da CSR por e-mail. Algumas ACs ou seus revendedores podem até mesmo automatizar alguns ou todos os processos, incluindo, em alguns casos, a geração de par de chaves e CSR.

Envie a CSR para sua AC e siga as instruções para receber o certificado ou a cadeia de certificados final.

Cada AC cobra um valor pelo serviço de confirmar sua chave pública.

Também há opções para mapear sua chave para mais de um nome DNS, incluindo vários nomes distintos (por exemplo, example.com, www.example.com, example.net, e www.example.net) ou nomes com "caractere curinga", como *.example.com.

Copie os certificados para todos os servidores de front-end em um local não acessível pela Web, como /etc/ssl (Linux e Unix) ou no local indicado pelo IIS (Windows).

Ativar o HTTPS nos seus servidores

Ativar o HTTPS nos servidores é uma etapa essencial para proporcionar segurança às páginas da Web.

Use a ferramenta de configuração de servidor do Mozilla para configurar o servidor para suporte a HTTPS.
Teste seu site regularmente com o Teste de servidor SSL da Qualys e garanta pelo menos um A ou A+.

Nesse momento, você deve tomar uma decisão operacional crucial: Escolha uma das seguintes opções:

Dedique um endereço IP exclusivo para cada nome de host pelo qual o servidor da Web fornece conteúdo.
Use a hospedagem virtual baseada em nome.

Se você estiver usando endereços IP distintos para cada nome de host, poderá oferecer suporte a HTTP e HTTPS para todos os clientes. No entanto, a maioria dos operadores de site usam hospedagem virtual baseada em nome para economizar endereços IP e porque isso é mais conveniente em geral.

Se você ainda não tem o serviço HTTPS disponível nos servidores, ative-o agora (sem redirecionar o HTTP para o HTTPS. Consulte Redirecionar HTTP para HTTPS para mais informações. Configure o servidor da Web para usar os certificados que você comprou e instalou. O gerador de configuração do Mozilla pode ser útil.

Se você tiver muitos nomes de host ou subdomínios, cada um deles precisará usar o certificado correto.

Agora, e regularmente durante todo o ciclo de vida do seu site, verifique a configuração HTTPS com o Teste de servidor SSL da Qualys. Seu site precisa ter nota A ou A+. Trate tudo que cause uma nota menor como um bug e fique atento, porque novos ataques contra algoritmos e protocolos estão sempre sendo desenvolvidos.

Tornar os URLs internos do site relativos

Agora que você está disponibilizando o site em HTTP e HTTPS, ele precisa funcionar o mais tranquilamente possível, independente do protocolo. Um fator importante é usar URLs relativos para links internos do site.

Verifique se os URLs internos e externos não dependem de um protocolo específico. Use caminhos relativos ou deixe o protocolo de fora, como em //example.com/something.js.

A exibição de uma página que contém recursos HTTP usando HTTPS pode causar problemas. Quando um navegador encontra uma página segura que usa recursos não seguros, ele alerta os usuários de que a página não é totalmente segura. Além disso, alguns navegadores se recusam a carregar ou executar os recursos HTTP, o que quebra a página. No entanto, é possível incluir recursos HTTPS com segurança em uma página HTTP. Para mais orientações sobre como corrigir esses problemas, consulte Como corrigir conteúdo misto.

Seguir links baseados em HTTP para outras páginas no seu site também pode reduzir a experiência do usuário de HTTPS para HTTP. Para corrigir isso, torne os URLs intrasite o mais relativo possível, tornando-os relativos ao protocolo (sem protocolo, começando com //example.com) ou relativos ao host (começando apenas com o caminho, como /jquery.js).

O que fazer

<h1>Welcome To Example.com</h1>
<script src="/jquery.js"></script>
<link rel="stylesheet" href="/assets/style.css"/>
<img src="/images/logo.png"/>;
<p>A <a href="/2014/12/24">new post on cats!</a></p>

Use URLs relativos do site.

O que fazer

<h1>Welcome To Example.com</h1>
<script src="//example.com/jquery.js"></script>
<link rel="stylesheet" href="//assets.example.com/style.css"/>
<img src="//img.example.com/logo.png"/>;
<p>A <a href="//example.com/2014/12/24/">new post on cats!</a></p>

Ou use URLs intrasite relativos a protocolo.

O que fazer

<h1>Welcome To Example.com</h1>
<script src="/jquery.js"></script>
<link rel="stylesheet" href="/assets/style.css"/>
<img src="/images/logo.png"/>;
<p>A <a href="/2014/12/24">new post on cats!</a></p>
<p>Check out this <a href="https://foo.com/"><b>other cool site.</b></a></p>

Use URLs HTTPS para links de outros sites, sempre que possível.

Atualize seus links com um script, não manualmente, para evitar erros. Se o conteúdo do site está em um banco de dados, teste o script em uma cópia de desenvolvimento do banco de dados. Se o conteúdo do site consiste apenas em arquivos simples, teste o script em uma cópia de desenvolvimento dos arquivos. Envie as alterações para produção somente depois de aprovadas em teste de controle de qualidade, como sempre. Você pode usar o script de Bram van Damme ou algo parecido para detectar conteúdo misto no site.

Ao oferecer links para outros sites (em vez de incluir os recursos deles), não altere o protocolo. Você não tem controle sobre como esses sites funcionam.

Para facilitar a migração de sites grandes, recomendamos usar URLs relativos a protocolo. Se você não tem certeza de que já pode implantar totalmente o HTTPS, forçar o site a usar HTTPS para todos os subrrecursos pode não dar certo. É provável que o HTTPS seja algo novo e estranho para você por algum tempo. Enquanto isso, o site HTTP ainda precisa funcionar normalmente. Com o tempo, você vai concluir a migração e poder forçar o uso do HTTPS (confira as duas próximas seções).

Se o site depende de scripts, imagens ou outros recursos fornecidos por terceiros, como CDN ou jquery.com, você tem duas opções:

Use URLs relativos a protocolo para esses recursos. Se o terceiro não oferecer HTTPS, peça que o faça. A maioria faz isso, incluindo o jquery.com.
Fornecer os recursos de um servidor que você controla e que oferece HTTP e HTTPS. Esse procedimento é recomendável, porque você terá melhor controle sobre a aparência, o desempenho e a segurança do seu site e não precisará confiar em um terceiro para manter o site seguro.

Redirecionar HTTP para HTTPS

Para informar aos mecanismos de pesquisa que eles devem usar o HTTPS para acessar seu site, coloque um link canônico no cabeçalho de cada página usando tags <link rel="canonical" href="https://…"/>.

Ativar a segurança de transporte estrita e cookies seguros

Neste ponto, você está pronto para "forçar" o uso do HTTPS:

Use a segurança de transporte estrita do HTTP (HSTS) para evitar o custo do redirecionamento 301.
Sempre ative o sinalizador Secure para os cookies.

Primeiro, use a segurança de transporte estrita para informar aos clientes que eles devem sempre se conectar ao servidor usando HTTPS, mesmo ao seguir uma referência http://. Isso evita ataques como SSL Stripping, e evita o custo de ida e volta do 301 redirect que ativamos em Redirecionar HTTP para HTTPS.

Para ativar o HSTS, defina o cabeçalho Strict-Transport-Security. A página de HSTS do OWASP tem links para instruções para vários tipos de software de servidor.

A maioria dos servidores da Web oferece recursos semelhantes para adicionar cabeçalhos personalizados.

Também é importante garantir que os clientes nunca enviem cookies (para autenticação ou preferências do site) por HTTP. Por exemplo, se o cookie de autenticação de um usuário for exposto em texto simples, a garantia de segurança de toda a sessão será destruída, mesmo que todo o resto esteja correto.

Para evitar isso, mude seu app da Web para sempre definir o sinalizador Seguro nos cookies que ele define. Esta página do OWASP explica como definir o sinalizador Secure em vários frameworks de app. Cada framework de app tem uma maneira de definir a flag.

A maioria dos servidores da Web oferece um recurso simples de redirecionamento. Use 301 (Moved Permanently) para indicar aos mecanismos de pesquisa e navegadores que a versão HTTPS é canônica e redirecione os usuários da versão HTTP para a versão HTTPS do site.

Classificação daesquisa

O Google usa o HTTPS como um indicador positivo de qualidade de pesquisa. O Google também publica um guia sobre como transferir, mover ou migrar seu site sem alterar a classificação de pesquisa. O Bing também publica diretrizes para webmasters.

Desempenho

Quando as camadas de conteúdo e aplicativo estão bem ajustadas (consulte os livros de Steve Souders para receber conselhos), as demais preocupações de desempenho do TLS são geralmente pequenas em relação ao custo geral do aplicativo. Além disso, você pode reduzir e amortizar esses custos. Para receber conselhos sobre a otimização do TLS, consulte High Performance Browser Networking, de Ilya Grigorik, e o OpenSSL Cookbook e o Bulletproof SSL And TLS, de Ivan Ristic.

Em alguns casos, o TLS pode melhorar o desempenho, principalmente como resultado de possibilitar o HTTP/2. Para mais informações, consulte a palestra de Chris Palmer sobre o desempenho do HTTPS e do HTTP/2 no Chrome Dev Summit 2014.

Cabeçalhos de referência

Quando o usuário segue links do site HTTPS para outros sites HTTP, os user-agents não enviam o cabeçalho Referer. Se isso for um problema, há várias maneiras de resolver:

Os outros sites devem migrar para HTTPS. Se os sites de referência concluírem a seção Ativar o HTTPS nos servidores deste guia, você poderá mudar os links no seu site de http:// para https:// ou usar links relativos a protocolo.
Para encontrar solução para diversos problemas com os cabeçalhos Referer, use o novo padrão da Política dos referenciadores.

Receita de anúncios

Os operadores de site que lucram com seu site mostrando anúncios querem ter certeza de que a migração para HTTPS não reduz as impressões dos anúncios. No entanto, devido a questões de segurança com o conteúdo misto, um <iframe> HTTP não funciona em uma página HTTPS. Até que os anunciantes publiquem via HTTPS, os operadores de site não poderão migrar para HTTPS sem perder receita com anúncios. No entanto, até que os operadores de site migrem para HTTPS, os anunciantes não terão muita motivação para publicar via HTTPS.

Você pode começar o processo de quebra desse impasse usando anunciantes que oferecem serviços de anúncios por HTTPS e pedindo aos anunciantes que não veiculam HTTPS para que pelo menos ofereçam essa opção. Talvez seja necessário adiar a conclusão de Tornar os URLs internos do site relativos até que um número suficiente de anunciantes interaja corretamente.