SSL und Domain-Sicherheit in HubSpot

HubSpot stellt automatisch ein Standard-SAN-SSL-Zertifikat über Google Trust Services bereit, wenn Sie eine Domain mit Ihrem Account verbinden. Die Standard-SSL-Bereitstellung dauert in der Regel einige Minuten, kann aber auch bis zu vier Stunden dauern.

Vorab bereitgestelltes SSL-Zertifikat

Wenn Sie Ihre vorhandene Website zu HubSpot verschieben, sollten Sie ein SSL-Zertifikat vorab bereitstellen, damit es keine SSL-Ausfallzeiten gibt. Sie können ein SSL-Zertifikat vorab bereitstellen, während Sie eine Domain mit HubSpot verknüpfen.

1. Während des Verknüpfungsprozesses für eine Domain wird ein Banner angezeigt, wenn Ihre Website über ein vorhandenes SSL-Zertifikat verfügt. Klicken Sie auf Vorab-Bereitstellung und befolgen Sie die Anweisungen im Dialogfeld, um den Bereitstellungsprozess zu starten.

2. Melden Sie sich in einem separaten Browserfenster oder einem separaten Tab auf der Website Ihres Domain-Anbieters an (z. B. GoDaddy oder Namecheap).
3. Gehen Sie auf der Website Ihres Domains-Anbieters zu den DNS-Einstellungen, in denen Sie Ihre DNS-Einträge verwalten.
4. Erstellen Sie neue DNS-Einträge gemäß dem Dialogfeld Ihr SSL-Zertifikat vorab bereitstellen in HubSpot. Kopieren Sie die Werte für den Host und die Werte für Erforderliche Daten.
5. Wenn Sie fertig sind, klicken Sie im Dialogfeld Ihr SSL-Zertifikat vorab bereitstellen auf Verifizieren. Es kann bis zu vier Stunden dauern, bis Ihre Änderungen verarbeitet werden. Wenn Sie einen Fehler erhalten, wenn Sie auf Verifizieren klicken, warten Sie ein paar Minuten und klicken Sie dann zum Überprüfen erneut auf Verifizieren.

Bitte beachten: Wenn Sie Network Solutions, Namecheap oder GoDaddy verwenden, müssen Sie die Root-Domain nicht kopieren. Ihr Anbieter fügt eine Root-Domain automatisch am Ende des DNS-Eintrags hinzu.

6. Nachdem Ihr Zertifikat vorab bereitgestellt wurde, wird auf dem Bildschirm für das Verknüpfen der Domain ein Bestätigungsbanner angezeigt. Sie können dann weiter Ihre Domain verknüpfen.

Einen Domain Control Validation (DCV)-Eintrag einrichten

Wenn Sie in Ihren Domain-Einstellungen die Fehlermeldung „Reverse-Proxy-Domains erfordern Ihr Handeln, um Störungen der Website zu vermeiden“ sehen, wird empfohlen, einen Domain Control Validation (DCV)-Eintrag hinzuzufügen, um Ihr SSL-Zertifikat auf dem neuesten Stand zu halten.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie für jede Domain mit einem Aktion erforderlich-Label auf das Dropdown-Menü Aktionen und wählen Sie DNS-Einträge anzeigen aus.
4. Melden Sie sich in einem separaten Browserfenster oder einem separaten Tab bei der Website Ihres Domain-Anbieters an und rufen Sie Ihre DNS-Einträge auf. Erfahren Sie mehr über das DNS-Setup für die gängigsten Anbieter.
5. Gehen Sie auf der Website Ihres Domains-Anbieters zu den DNS-Einstellungen, in denen Sie Ihre DNS-Einträge verwalten.
6. Erstellen Sie neue DNS-Einträge gemäß dem Dialogfeld in HubSpot. Kopieren Sie die Werte für DCV-Eintrag und fügen Sie sie in den neuen Eintrag auf der Website Ihres Domain-Anbieters in den DNS-Einstellungen ein.
7. Wenn Sie eine neue DCV-Eintrag zu Ihrem DNS-Konto hinzufügen, kann es bis zu 24 Stunden dauern, bis die Aktualisierung der DNS-Änderungen abgeschlossen ist.

Sicherheitseinstellungen für Domains aktualisieren

Aktualisieren Sie die Sicherheitseinstellungen für jede mit HubSpot verknüpfte Subdomain. Sicherheitseinstellungen umfassen Ihr Website-Protokoll (HTTP vs. HTTPS), die TLS-Version und Ihre Website-Sicherheits-Header.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.

HTTPS-Protokoll

Verlangen Sie, dass alle Seiten auf Ihrer Website sicher über HTTPS geladen werden. Wenn diese Einstellung aktiviert ist, werden über HTTP geladene Inhalte, z. B. Bilder und Stylesheets, nicht auf Ihrer Website geladen. Über HTTP auf einer HTTPS-Website geladene Inhalte werden als gemischte Inhalte bezeichnet. Erfahren Sie, wie Sie Fehler mit gemischten Inhalten auf Ihrer Seite beheben.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Aktivieren Sie im rechten Seitenbereich das Kontrollkästchen HTTPS verlangen, um zu verlangen, dass alle Seiten auf der Domain sicher über HTTPS statt HTTP geladen werden.
5. Wenn Sie fertig sind, klicken Sie auf Speichern.

TLS-Version

HubSpot-Server akzeptieren standardmäßig eine Verbindung mit TLS 1.2 und höher. Verbindungen, die versuchen, eine TLS-Version unter der festgelegten Mindestversion zu verwenden, verursachen einen Fehler.

Bitte beachten: Einige Sicherheitsscans zeigen möglicherweise ältere TLS-Versionen (z. B. TLS 1.0) auf Cloudflare-IP-Adressen an, die für die Bereitstellung von von HubSpot-gehosteten Inhalten verwendet werden. Dies hat keinen Einfluss auf die Sicherheit Ihrer Website. Ihre Website wird mit der für Ihre Domain konfigurierten TLS-Version bereitgestellt, z. B. TLS 1.2.

Sicherheits-Header

Konfigurieren Sie die Sicherheit Ihrer Domains und aktivieren Sie die Sicherheits-Header für jede Domain.

HTTP Strict Transport Security (HSTS)

Fügen Sie Ihrer Website eine zusätzliche Sicherheitsebene hinzu, indem Sie HTTP Strict Transport Security (HSTS) aktivieren. HSTS lässt Browser alle HTTP-Anfragen stattdessen in HTTPS-Anfragen konvertieren. Durch Aktivieren von HSTS wird Antworten auf Anfragen an URLs in der Subdomain der HSTS-Header hinzugefügt. Erfahren Sie mehr über den HSTS-Header.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um HSTS zu aktivieren, aktivieren Sie das Kontrollkästchen HTTP Strict Transport Security (HSTS). 
   • Um zu bearbeiten, wie lange Browser HTTP-Anfragen in HTTPS-Anfragen konvertieren sollen, klicken Sie auf das Dropdown-Menü Dauer (max. Alter) und wählen Sie eine Dauer aus.
   • Um die Preload-Direktive im HSTS-Header der Domain zu berücksichtigen, aktivieren Sie das Kontrollkästchen Preload aktivieren. Erfahren Sie mehr über HSTS-Preloading.
   • Um den HSTS-Header in allen Subdomains unter der ausgewählten Domain zu berücksichtigen, aktivieren Sie das Kontrollkästchen Subdomains einschließen. Wenn beispielsweise HSTS für www.examplewebsite.com aktiviert ist und das Kontrollkästchen Subdomains einschließen ausgewählt ist, wird HSTS für cool.www.beispielwebsite.com ebenfalls aktiviert.
6. Wenn Sie fertig sind, klicken Sie auf Speichern.

Zusätzliche Sicherheitseinstellungen für Domains

Konfigurieren Sie zusätzliche Domain-Sicherheitsheader, um zu steuern, wie Browser Inhalte laden, Anfragen verarbeiten und Schutzmaßnahmen für Ihre Domain durchsetzen. Diese Einstellungen helfen, häufige Sicherheitsrisiken wie Cross-Site-Scripting und nicht autorisiertes Einbetten von Inhalten zu verhindern.

X-Frame-Options

Aktivieren Sie den X-Frame-Options-Antwort-Header, um anzuzeigen, ob ein Browser eine Seite in <frame>-, <iframe> <embed>-, - oder <object> -HTML-Tags darstellen kann. Erfahren Sie mehr über den X-Frame-Options-Header.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um X-Frame-Options zu aktivieren, aktivieren Sie das Kontrollkästchen X-Frame-Options und klicken Sie dann auf das Dropdown-Menü Direktive, um eine Option auszuwählen:
   • Um zu verhindern, dass Seiten auf Ihrer Domain auf einer beliebigen Seite in den oben genannten Tags geladen werden, wählen Sie deny aus.
   • Um zuzulassen, dass Seiten auf Ihrer Domain nur in den oben genannten Tags geladen werden dürfen, wählen Sie sameorigin aus.
6. Wenn Sie fertig sind, klicken Sie auf Speichern.

X-XSS-Protection

Aktivieren Sie den X-XSS-Protection-Header, um eine Sicherheitsstufe für Benutzer älterer Webbrowser hinzuzufügen. Das Aktivieren von X-XSS-Protection verhindert, dass Seiten geladen werden, wenn Cross-Site-Scripting erkannt wird. Erfahren Sie mehr über den X-XSS-Protection-Header.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um den X-XSS-Protection-Header zu aktivieren, wählen Sie das Kontrollkästchen X-XSS-Protection aus, klicken Sie dann auf das Dropdown-Menü XSS-Einstellung und wählen Sie eine Option aus:
   • Um XSS-Filterung zu deaktivieren, wählen Sie 0 aus.
   • Um die unsicheren Teile einer Seite zu entfernen, wenn ein Cross-Site-Scripting-Angriff erkannt wird, wählen Sie 1 aus.
   • Um die Darstellung einer Seite zu verhindern, wenn ein Angriff erkannt wird, wählen Sie 1; mode=block aus.
6. Wenn Sie fertig sind, klicken Sie auf Speichern.

X-Content-Type-Options

Aktivieren Sie den X-Content-Type-Options-Header, um Seiten von MIME-Typ-Sniffing abzumelden. Durch Aktivieren dieser Einstellung weisen Sie den Browser an, den in den Content-Type-Headern angekündigten MIME-Typen zu folgen. Erfahren Sie mehr über den X-Content-Type-Options-Header.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um Seiten von MIME-Typ-Sniffing zu deaktivieren, aktivieren Sie das Kontrollkästchen X-Content-Type-Options.
6. Wenn Sie fertig sind, klicken Sie auf Speichern.

Content-Security-Policy

Aktivieren Sie den Content-Security-Policy-Header, um die Ressourcen zu steuern, die der Benutzer-Agent auf einer Seite laden kann. Mit diesem Header können Sie Cross-Site-Scripting-Angriffe verhindern.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um die Ressource zu steuern, die der Benutzer-Agent laden kann, aktivieren Sie das Kontrollkästchen Content-Security-Policy:
   • Geben Sie im Feld Richtliniendirektiven Direktiven ein.
     • Um volle Funktionalität auf von HubSpot gehosteten Seiten zu gewährleisten, sollten die Domains und Direktiven in der folgenden Tabelle enthalten sein.
     • Eine Liste anderer verfügbarer Direktiven finden Sie im Content-Security-Policy-Header-Leitfaden von Mozilla.
   • Um den Content-Security-Policy-Header mit den Webversionen von Marketing-E-Mails zu verwenden, geben Sie unsafe-inline als hier beschriebenes Schlüsselwort ein. Andernfalls wird Formatierung in der E-Mail blockiert.
   • <script> Damit Elemente nur ausgeführt werden können, wenn sie ein Nonce-Attribut enthalten, das mit dem zufällig generierten Wert im Header übereinstimmt, aktivieren Sie das Nonce-Kontrollkästchen  aktivieren.
6. Wenn Sie fertig sind, klicken Sie auf Speichern.

Bitte beachten: HubSpot generiert bei jeder Anfrage automatisch einen Zufallswert für alle Skripts von HubSpot und alle auf HubSpot gehosteten Skripte.

Die folgenden Domains und Direktiven sollten enthalten sein, um volle Funktionalität auf von HubSpot gehosteten Seiten zu gewährleisten:

Content-Security-Policy-Report-Only

Aktivieren Sie den Content-Security-Policy-Report-Only-Header, um Richtliniendirektiven zu überwachen. Richtliniendirektiven werden nicht durchgesetzt, aber die Auswirkungen werden überwacht, was beim Experimentieren mit Richtlinien nützlich sein kann. Erfahren Sie mehr über den Content-Security-Policy-Report-Only-Header.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um diesen Header zu aktivieren, wählen Sie das Kontrollkästchen Content-Security-Policy-Report-Only aus und geben Sie dann Ihre Richtliniendirektiven ein.
6. Um zuzulassen, dass <script> Elemente nur ausgeführt werden, wenn sie ein Nonce-Attribut enthalten, das mit dem zufällig generierten Headerwert übereinstimmt, aktivieren Sie das Kontrollkästchen Nonce aktivieren.
7. Wenn Sie fertig sind, klicken Sie auf Speichern.

Referrer-Policy

Aktivieren Sie den Referrer-Policy-Header, um zu steuern, wie viele Referrer-Informationen bei Anfragen enthalten sein sollen. Eine Definition der verfügbaren Direktiven finden Sie im Referrer-Policy-Leitfaden von Mozilla.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um zu steuern, wie viele Referrer-Informationen in Anfragen enthalten sein sollen, aktivieren Sie das Kontrollkästchen Referrer-Policy, klicken Sie dann auf das Dropdown-Menü Direktive und wählen Sie eine Option aus.
6. Wenn Sie fertig sind, klicken Sie auf Speichern.

Permissions-Policy

Aktivieren Sie den Permissions-Policy-Header, um die Verwendung von Browser-Funktionen auf der Seite zu steuern, einschließlich <iframe> des -Elementinhalts.

1. Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das Zahnradsymbol, um die Einstellungen aufzurufen.
2. Gehen Sie in der linken Seitenleiste zu Content > Domains & URLs.
3. Klicken Sie auf das Dropdown-Menü Aktionen und wählen Sie Domain-Sicherheitseinstellungen aktualisieren aus.
4. Klicken Sie im rechten Seitenbereich auf den Tab Sicherheits-Header.
5. Um die Verwendung von Browser-Funktionen zu steuern, aktivieren Sie das Kontrollkästchen Permissions-Policy und geben Sie dann Ihre Richtlinien ein. Eine Liste von Direktiven finden Sie im Permissions-Policy-Leitfaden von Mozilla.
6. Wenn Sie fertig sind, klicken Sie auf Speichern.