Activar carga previa HSTS en un dominio personalizado
Como mejor práctica de seguridad, active y envíe su dominio personalizado para la carga previa de Seguridad de transporte estricta HTTP (HSTS). Las conexiones pueden ser vulnerables cuando se redirigen solicitudes HTTP a HTTPS. Un ejemplo es un usuario que intenta acceder a su dominio personalizado utilizando el protocolo HTTP. Agregando su dominio registrable a la lista de carga previa HSTS externa, los navegadores compatibles siempre utilizan HTTPS, protegiendo sus usuarios de ataques durante esos redireccionamientos HTTP.
Ediciones necesarias
| Disponible en: Salesforce Classic y Lightning Experience |
| Disponible en: Enterprise Edition, Performance Edition y Unlimited Edition. |
| Se aplica a: Sitios de Salesforce y Sitios LWR, Aura y Visualforce |
| Permisos de usuario necesarios | |
|---|---|
| Para ver un dominio: | Gestionar dominios personalizados O BIEN Ver parámetros y configuración |
| Para modificar un dominio: | Gestionar dominios personalizados |
El encabezado HTTP Strict-Transport-Security informa a los navegadores de que deben utilizar siempre HTTPS, una conexión segura, para acceder al dominio. Sin embargo, la primera vez que un usuario accede a un dominio, una conexión solo HTTP puede ser vulnerable mientras el navegador interpreta esa instrucción.
La carga previa de HSTS ayuda a mitigar este problema. Si su dominio está en esa lista, los navegadores que utilizan la lista siempre tratan ese dominio como requiriendo una conexión segura. Para obtener una lista de los navegadores que admiten la carga previa de HSTS, consulte https://hstspreload.org. Para agregar su dominio a la lista, debe activar el encabezado HTTP Strict-Transport-Security en el dominio registrable. A continuación, agregue ese dominio a la lista de carga previa HSTS externa.
example.com y example.co.uk son aptos para la carga previa de HSTS, pero www.example.com, www.example.co.uk y sub.example.com no son aptos.Para activar HSTS en un dominio personalizado que sirve su contenido de sitio, complete estos pasos.
-
Active la carga previa HSTS en el encabezado HTTP
Strict-Transport-Securitypara el dominio registrable de su dominio personalizado.-
Si su dominio en Salesforce es un dominio registrable como https://example.com, seleccione Permitir registro de precarga HSTS en el dominio. Para acceder a esta configuración, modifique su dominio desde la página Configuración de dominios.
Cuando esa configuración está activada, Salesforce incluye la directiva
preloaden el encabezado HSTS para su dominio personalizado. -
Si su dominio en Salesforce incluye un subdominio, complete los requisitos previos para el dominio registrable relacionado.
Ejemplos de dominios con un subdominio incluyen https://www.example.com, https://shop.example.com y https://shop.example.co.uk. En los tres ejemplos, el dominio registrable es example.com.
Puede encontrar los requisitos previos en https://hstspreload.org. Para determinar los pasos necesarios para cumplir la aptitud para la carga previa de HSTS, utilice el formulario de dicho sitio web. Salesforce no puede completar esos requisitos previos para usted.
Si su dominio personalizado es un dominio registrable y la opción de registro de precarga HSTS está activada en su dominio, Salesforce agrega el encabezado HTTP requerido. De lo contrario, Salesforce no puede completar los requisitos previos para su dominio. -
Si su dominio en Salesforce es un dominio registrable como https://example.com, seleccione Permitir registro de precarga HSTS en el dominio. Para acceder a esta configuración, modifique su dominio desde la página Configuración de dominios.
-
Para agregar su dominio a la lista de carga previa de HSTS, vaya a https://hstspreload.org, verifique la aptitud de su dominio y luego envíe su dominio.
Cuando su dominio registrable está en la lista de carga previa de HSTS, los navegadores que comprueban esa lista siempre utilizan HTTPS para acceder a su dominio y sus subdominios.Nota Un tercero define y gestiona la lista de carga previa de HSTS y sus requisitos previos. Salesforce no puede agregar su dominio a la lista para usted.
MyDomainName.my.site.com en organizaciones con dominios mejorados y ExperienceCloudSitesSubdomain.force.com en organizaciones sin dominios mejorados. El formato de dominio gestionado por el sistema para Sitios de Salesforce es MyDomainName.my.salesforce-sites.com en organizaciones con dominios mejorados y SalesforceSitesSubdomain.force.com en organizaciones sin dominios mejorados. No se requiere ninguna acción para activar la carga previa HSTS en esos dominios.