Seguridad de SSL y dominio en HubSpot

HubSpot proporciona automáticamente un certificado SSL SAN estándar a través de Google Trust Services cuando conectas un dominio a tu cuenta. El aprovisionamiento SSL estándar suele tardar unos minutos, pero puede tardar hasta cuatro horas,

Preprovisión de un certificado SSL

Si estás moviendo tu sitio existente a HubSpot, es recomendable pre-aprovisionar un certificado SSL para que no haya tiempo de inactividad de SSL. Puedes pre-proveer un certificado SSL mientras conectas un dominio a HubSpot.

1. Durante el proceso de conexión de un dominio, se mostrará un banner si su sitio dispone de un certificado SSL. Haz clic en preaprovisionamiento y sigue las instrucciones del cuadro de diálogo para iniciar el proceso de aprovisionamiento.

2. En otra ventana o pestaña del navegador, inicia sesión en el sitio de tu proveedor de dominios (por ejemplo, GoDaddy o Namecheap).
3. En el sitio web de tu proveedor de dominios, ve a la configuración de DNS donde se gestionan los registros DNS.
4. Crea nuevos registros DNS, de acuerdo con el cuadro de diálogo Preaprovisionar el certificado SSL en HubSpot. Copia los valores de Host y Datos requeridos.
5. Cuando hayas terminado, haz clic en Verificar en el cuadro de diálogo Preaprovisionar el certificado SSL. Puede tardar hasta cuatro horas para procesar tus cambios. Si recibes un mensaje de error al hacer clic en Verificar, espera unos minutos y luego haz clic en Verificar para verificar nuevamente.

Nota: si utilizas Network Solutions, Namecheap o GoDaddy, no necesitas copiar el dominio raíz. Tu proveedor agregará tu dominio raíz al final del registro de DNS automáticamente.

6. Una vez que el certificado se haya preaprovisionado correctamente, aparecerá un banner de confirmación en la pantalla de conexión al dominio. Luego puedes continuar conectando tu dominio.

Configurar un registro de validación de control de dominio (DCV)

Si ves un error en la configuración de tu dominio que indica que "Los dominios de proxy inverso necesitan tu acción para evitar la interrupción del sitio web", se recomienda agregar un registro de validación de control de dominio (DCV) para mantener actualizado tu certificado SSL.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Para cada dominio con una etiqueta Acción requerida, haz clic en el menú desplegable Acciones y selecciona Mostrar registros DNS.
4. En otra ventana o pestaña del navegador, inicia sesión en el sitio de tu proveedor de dominio y accede a tus registros DNS. Más información sobre la configuración de DNS para los proveedores más comunes.
5. En el sitio web de su proveedor de dominios, vaya a la configuración de DNS, donde podrá gestionar sus registros DNS.
6. Crea nuevos registros DNS, de acuerdo con el cuadro de diálogo en HubSpot. Copia los valores del registro DCV y pégalos en el nuevo registro en el sitio de tu proveedor de dominio en la configuración de DNS.
7. Cuando agregas un nuevo registro DCV a tu cuenta de DNS, los cambios de DNS pueden tardar hasta 24 horas en terminar de actualizarse.

Actualizar la configuración de seguridad del dominio

Actualiza la configuración de seguridad de cada subdominio conectado a HubSpot. La configuración de seguridad incluye tu protocolo de sitio web (HTTP vs. HTTPS), versión TLS y encabezados de seguridad de tu sitio web.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.

Protocolo HTTPS

Exija que todas las páginas de su sitio se carguen de forma segura a través de HTTPS. Una vez activada esta opción, el contenido cargado a través de HTTP, como imágenes y hojas de estilo, no se cargará en tu sitio. El contenido cargado en HTTP en un sitio HTTPS se denomina contenido combinado. Aprenda a resolver errores de contenido mixto en su página.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, selecciona la casilla de verificación Requerir HTTPS para requerir que todas las páginas del dominio se carguen de forma segura a través de HTTPS en lugar de HTTP.
5. Cuando hayas terminado, haz clic en Guardar.

Versión TLS

Por defecto, los servidores de HubSpot aceptarán una conexión utilizando TLS 1.2 y superiores. Las conexiones que intentan usar una versión de TLS inferior al conjunto mínimo fallarán.

Nota: algunos análisis de seguridad pueden mostrar versiones TLS más antiguas (por ejemplo, TLS 1.0) en las direcciones IP de Cloudflare utilizadas para entregar contenido alojado en HubSpot. Esto no afecta a la seguridad de su sitio. Su sitio se sirve utilizando la versión TLS configurada para su dominio, como TLS 1.2.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en el menú desplegable Versión TLS y selecciona una opción.
5. Cuando hayas terminado, haz clic en Guardar.

Encabezados de seguridad

Configure la seguridad de su dominio y active las cabeceras de seguridad para cada dominio.

HTTP Strict Transport Security (HSTS)

Añada una capa adicional de seguridad a su sitio web activando HTTP Strict Transport Security (HSTS). HSTS instruye a los navegadores para que conviertan todas las solicitudes HTTP a solicitudes HTTPS. Activar HSTS agrega el encabezado de HSTS a las respuestas a solicitudes realizadas en las URL del subdominio. Más información sobre el encabezado HSTS.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para activar HSTS, selecciona la casilla de verificación Seguridad de Transporte de HTTP Estricta (HSTS). 
   • Para editar el tiempo que los navegadores deben recordar para convertir las solicitudes HTTP a HTTPS, haga clic en el menú desplegable Duración (max-age) y seleccione una duración.
   • Para incluir la directiva de precarga en el encabezado HSTS del dominio, selecciona la casilla de comprobación Activar precarga. Más información sobre la precarga de HSTS.
   • Para incluir el encabezado HSTS en todos los subdominios del dominio seleccionado, selecciona la casilla de verificación Incluir subdominios. Por ejemplo, si el HSS está activado para www.examplewebsite.com y la casilla de comprobación Incluir subdominios está seleccionada, el sitio cool.www.examplewebsite.com también tendrá activado HSTS.
6. Cuando hayas terminado, haz clic en Guardar.

Ajustes adicionales de seguridad del dominio

Configure cabeceras de seguridad de dominio adicionales para controlar cómo los navegadores cargan el contenido, gestionan las solicitudes y aplican protecciones en su dominio. Estos ajustes ayudan a prevenir vulnerabilidades comunes, como el cross-site scripting y la inserción no autorizada de contenidos.

X-Frame-Options

Active el encabezado de respuesta X-Frame-Options para mostrar si un navegador puede renderizar una página en <frame>, <iframe>, <embed>o <object> etiquetas html. Más información sobre el encabezado X-Frame-Options.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para activar X-Frame-Options, selecciona la casilla de verificación X-Frame-Options y haz clic en el menú desplegableDirectiva para seleccionar una opción:
   • Para evitar que las páginas de tu dominio se carguen en cualquier página en las etiquetas anteriores, selecciona negar.
   • Para permitir que las páginas de tu dominio se carguen solo en las etiquetas anteriores en tu dominio, selecciona sameorigin.
6. Cuando hayas terminado, haz clic en Guardar.

X-XSS-Protection

Active la cabecera X-XSS-Protection para añadir una capa de seguridad a los usuarios de navegadores antiguos. La activación de la protección X-XSS impide que se carguen las páginas cuando se detectan secuencias de comandos en sitios cruzados. Más información sobre el encabezado X-XSS-Protection.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para activar el encabezado X-XSS-Protection, selecciona la casilla de verificación X-XSS-Protection y haz clic en el menú desplegable Configuración de XSS y selecciona una opción:
   • Para desactivar el filtro XSS, selecciona 0.
   • Para eliminar las partes inseguras de una página cuando se detecta un ataque de scripts de sitios cruzados, selecciona 1.
   • Para evitar la renderización de una página si se detecta un ataque, selecciona 1; mode=block.
6. Cuando hayas terminado, haz clic en Guardar.

X-Content-Type-Options

Active la cabecera X-Content-Type-Options para excluir a las páginas de la detección de tipos MIME. Al activar esta configuración se le informa al navegador que siga los tipos MIME publicitados en los encabezados Content-Type. Más información sobre el encabezado X-Content-Type-Options.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para excluir las páginas del sniffing de tipo MIME, selecciona la casilla de verificación X-Content-Type-Options .
6. Cuando hayas terminado, haz clic en Guardar.

Content-Security-Policy

Active la cabecera Content-Security-Policy para controlar los recursos que el agente de usuario puede cargar en una página. Este encabezado ayuda a evitar ataques de guiones de sitios cruzados.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para controlar el recurso que el agente de usuario puede cargar, selecciona la casilla de verificación Content-Security-Policy:
   • Introduzca las directivas en el campo Directivas de la política .
     • Para garantizar una funcionalidad completa en las páginas alojadas en HubSpot, se deben incluir los dominios y directivas de la siguiente tabla .
     • Para obtener una lista de otras directivas disponibles, consulta la guía del encabezado Content-Security-Policy de Mozilla.
   • Para utilizar el encabezado Content-Security-Policy con las versiones web de los correos electrónicos de marketing, introduzca unsafe-inline como palabra clave descrita aquí. De lo contrario, se bloqueará el estilo del correo electrónico.
   • Para permitir que los elementos <script> se ejecuten sólo si contienen un atributo nonce que coincida con el valor de cabecera generado aleatoriamente, seleccione la casilla de verificación Activar nonce.
6. Cuando hayas terminado, haz clic en Guardar.

Nota: HubSpot genera automáticamente un valor aleatorio en cada solicitud para todos los scripts de HubSpot y todos los scripts alojados en HubSpot.

Los siguientes dominios y directrices deben ser incluidos para garantizar la plena funcionalidad de las páginas alojadas en HubSpot:

Content-Security-Policy-Report-Only

Activa el encabezado Content-Security-Policy-Report-Only para monitorizar las directivas de políticas. Las directivas de las políticas no se aplicarán, pero se controlarán sus efectos, lo que puede resultar útil a la hora de experimentar con ellas. Más información sobre el encabezado Content-Security-Policy-Report-Only.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para activar este encabezado, selecciona la casilla de comprobación Content-Security-Policy-Report-Only y luego ingresa tus Directivas de políticas.
6. Para permitir que los elementos <script> se ejecuten sólo si contienen un atributo nonce que coincida con el valor de cabecera generado aleatoriamente, seleccione la casilla de verificación Activar nonce.
7. Cuando hayas terminado, haz clic en Guardar.

Referrer-Policy

Activa el encabezado Referrer-Policy para controlar la cantidad de información de referencia que debe incluirse en las solicitudes. Para una definición de las directivas disponibles, consulta la Guía Referrer-Policy de Mozilla.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para controlar cuánta información de referencia debe incluirse en las solicitudes, seleccione la casilla de verificación Política de referencia y, a continuación, haga clic en el menú desplegable Directiva y seleccione una opción.
6. Cuando hayas terminado, haz clic en Guardar.

Permissions-Policy

Active el encabezado Permisos-Política para controlar el uso de las funciones del navegador en la página, incluyendo <iframe> el contenido de los elementos.

1. En tu cuenta de HubSpot, haz clic en el icono de Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar configuración de seguridad del dominio.
4. En el panel lateral derecho, haz clic en la pestaña Encabezados de seguridad.
5. Para controlar el uso de las funciones del navegador, seleccione la casilla de verificación Política de permisos e introduzca sus Directivas. Para obtener una lista de directivas, consulte la guía Permissions-Policy de Mozilla.
6. Cuando hayas terminado, haz clic en Guardar.