Configurer HSTS pour B2C Commerce

HTTP Strict Transport Security (HSTS) sécurise votre site en indiquant aux navigateurs Web de n'accéder à votre domaine qu'en utilisant le protocole HTTPS. HSTS empêche les pirates d'utiliser des attaques par rétrogradation contre votre site. Pour plus de sécurité, activez le préchargement, qui oblige les navigateurs Web à ouvrir votre site en HTTPS lors de la première demande. Pour plus d’informations, consultez l’IETF (Internet Engineering Task Force) sur HSTS.

Remarque HSTS n’est pas disponible sur les zones SCAPI. Reportez-vous à la section Prise en charge des zones SCAPI pour B2C Commerce.

Les navigateurs Web consultent l'en-tête HTTP de votre site pour plus d'informations sur HSTS. Lorsque le navigateur Web lit une durée maximum pour HSTS, il ne vérifie plus l'en-tête jusqu'à ce que cette dernière ait expiré. Étant donné qu'un navigateur Web vérifie l'en-tête uniquement une fois que la durée maximum est passée, vous ne pouvez pas désactiver manuellement HSTS. Vous pouvez modifier la durée maximum à tout moment, mais vous ne pouvez mettre à jour HSTS que sur une connexion HTTPS. De ce fait, si votre site contient du matériel non sécurisé, vos modifications apportées à la durée maximum ne sont pas appliquées.

Avertissement Si votre site contient du contenu non sécurisé et que HSTS est activé, ce contenu ne s'affiche pas sur les navigateurs Web de vos acheteurs, ce qui rend votre site impossible à afficher. Étant donné que vous ne pouvez pas désactiver manuellement HSTS pour les sites comportant du contenu non sécurisé, il est extrêmement important de vous assurer que votre site est entièrement sécurisé avant d’activer HSTS. Pour tester votre site, activez HSTS pendant de courtes périodes, en commençant par quelques secondes, puis plus longtemps.

Remarque Les navigateurs Web implémentent le HSTS à leur propre discrétion.

1. Pour activer l’option HSTS, cliquez sur Lanceur , puis sélectionnez Administration | Préférences générales | Préférences commutateurs de fonctionnalités et activez les paramètres HSTS pour les zones eCDN.
2. Cliquez sur Administration | Sites | Paramètres de CDN intégré.
3. Cliquez sur Configurer des zones.
4. Dans l'onglet Crypto, cliquez sur Activer.
   HSTS n'est pas activé sur votre site tant que vous n'avez pas défini une durée maximum et cliqué sur Appliquer. Avant de continuer, examinez le texte de la boîte de dialogue de confirmation : « Activer HSTS pour cette zone ? Assurez-vous que votre site est entièrement prêt pour le HTTPS avant de continuer.
5. Définissez la durée max.
6. Indiquez si HSTS s'applique aux sous-domaines.
7. Indiquez si vous souhaitez activer le préchargement.
   Bien qu'il existe plusieurs étapes pour enregistrer officiellement votre site pour le préchargement, certains navigateurs Web activent le préchargement une fois qu'ils ont reçu la balise de préchargement dans l'en-tête. N'activez le préchargement qu'une fois que l'ensemble de votre site est sécurisé. La désactivation du préchargement peut demander jusqu'à un mois.
8. Cliquez sur Appliquer.