HSTS: o que é e como configurar para máxima segurança
O HSTS (HTTP Strict Transport Security) é um header de segurança que instrui o navegador a usar apenas HTTPS ao aceder ao seu site: nunca HTTP. Sem HSTS, um atacante numa rede Wi-Fi pública pode interceptar o pedido HTTP inicial (antes do redirecionamento para HTTPS) e executar um ataque man-in-the-middle. Com HSTS, o navegador recusa-se a fazer qualquer ligação HTTP ao domínio.
Como funciona
Quando o navegador visita o site pela primeira vez via HTTPS, recebe o header HSTS. A partir daí, durante o período definido (max-age), o navegador converte automaticamente qualquer pedido HTTP para HTTPS antes de o enviar. Não há janela de vulnerabilidade: o navegador nem tenta a ligação HTTP.
Como configurar
Via .htaccess (Apache):
Este exemplo é ilustrativo. Adapte domínio, caminhos e valores ao ambiente e teste numa cópia antes de aplicar. Não repita constantes já definidas nem regras geridas por outra ferramenta.
Header always set Strict-Transport-Security "max-age=300"Parâmetros:
max-age indica o período durante o qual o navegador aplica a política recebida. Comece com um prazo de teste adequado e confirme HTTPS antes de o aumentar. includeSubDomains e preload exigem preparação de todos os nomes relevantes.
includeSubDomains: aplica a todos os subdomínios.
preload: permite incluir o domínio na lista HSTS Preload dos navegadores (proteção desde a primeira visita).
HSTS Preload
A lista HSTS Preload é uma lista embebida nos navegadores (Chrome, Firefox, Safari, Edge) com domínios que devem usar apenas HTTPS. Mesmo na primeira visita, sem ter visto o header, o navegador já sabe que deve usar HTTPS. Submeta o domínio em hstspreload.org: o processo demora algumas semanas.
Cuidados
Antes de ativar HSTS, confirme que todo o site funciona corretamente em HTTPS, sem mixed content. Uma vez activado com max-age longo, não pode voltar atrás facilmente: os navegadores vão recusar HTTP durante todo o período. Comece com max-age=300 (5 minutos) para testar, depois aumente gradualmente.
Testar HTTPS antes de impor HSTS
Confirme que todos os nomes abrangidos funcionam por HTTPS, incluindo subdomínios que pretende incluir. Comece com um prazo prudente e avalie o funcionamento. includeSubDomains e preload têm efeitos mais amplos e não devem ser copiados sem preparação.
HSTS fica guardado no navegador durante o prazo anunciado. Uma falha posterior do certificado pode tornar a recuperação mais complicada para quem já recebeu a política. Documente a decisão e o processo de renovação. Esta proteção não corrige conteúdo misto nem falhas da aplicação.
Inclua as pessoas no plano de segurança
A tecnologia protege uma parte do serviço, mas muitas ocorrências começam com credenciais expostas, permissões antigas ou mensagens fraudulentas. Utilize palavras-passe únicas num gestor adequado, ative autenticação multifator quando disponível e defina quem pode aprovar alterações sensíveis. Nunca partilhe códigos de acesso numa resposta a uma mensagem inesperada.
O procedimento de recuperação deve ser conhecido antes de uma falha. Saiba quem administra o domínio, onde se encontram as cópias de segurança e como contactar o fornecedor. Após uma suspeita de incidente, registe os sintomas e preserve informação que possa ajudar a análise. A rapidez da reação é importante, mas alterações precipitadas podem apagar os elementos necessários para descobrir o que aconteceu.
Como agir nas primeiras horas depois de um alerta
Identifique o sistema afetado, limite acessos desnecessários e preserve registos. Não elimine ficheiros ou reinstale tudo sem compreender o alcance do incidente. Se suspeita que houve exposição de passwords, substitua-as a partir de um dispositivo de confiança e reveja os administradores existentes.
Depois da contenção, analise a origem e teste a recuperação. Restaurar um backup contaminado pode reproduzir a falha. Distinga factos confirmados de hipóteses para que a resposta não seja orientada por suposições.
Camadas de proteção com funções diferentes
SSL, firewall, proteção contra malware e backups têm objetivos distintos. O HTTPS cifra a comunicação, mas não elimina vulnerabilidades de plugins. Uma cópia de segurança apoia a recuperação, mas não substitui prevenção. A firewall pode bloquear padrões de ataque sem impedir que uma password roubada seja utilizada.
Reveja periodicamente versões, utilizadores e permissões. A empresa deve saber o que é responsabilidade do alojamento e o que pertence à manutenção da aplicação. Esta distinção facilita a resposta quando surge um incidente.
Preparar HTTPS antes de reforçar a política
Confirme certificados e subdomínios para evitar bloquear acessos legítimos.
Veja o nosso serviço de certificados SSL antes de escolher uma opção para o domínio e os subdomínios. Fale connosco se precisa de ajuda a escolher.