Seguridad de SSL y dominio en HubSpot

HubSpot proporciona automáticamente un certificado SSL SAN estándar a través de Google Trust Services cuando conectas un dominio a tu cuenta. El aprovisionamiento SSL estándar suele tardar unos minutos, pero puede tardar hasta cuatro horas.

Si has adquirido el complemento de SSL personalizado, puedes cargar certificados SSL personalizados en HubSpot. También puede configurar los ajustes de seguridad para cada dominio conectado, como las versiones TLS y las cabeceras de seguridad.

Por favor, Nota: si encuentras errores durante el proceso de aprovisionamiento SSL, obtén más información sobre solución de problemas de errores de certificados SSL.

Aprovisionamiento previo de tu certificado SSL

Si estás moviendo tu sitio existente a HubSpot, es recomendable pre-aprovisionar un certificado SSL para que no haya tiempo de inactividad de SSL. Puedes preproveer un certificado SSL mientras conecta un dominio a HubSpot.

1. Durante el proceso de conexión de un dominio, se mostrará un banner si su sitio dispone de un certificado SSL. Haga clic en Preaprovisionamiento y siga las instrucciones del cuadro de diálogo para iniciar el proceso de aprovisionamiento.

2. En otra ventana o pestaña del navegador, inicie sesión en el sitio de su proveedor de dominios (por ejemplo, GoDaddy o Namecheap).
3. En el sitio web de su proveedor de dominios, vaya a los ajustes de DNS donde se gestionan los registros DNS.
4. Cree nuevos registros DNS, de acuerdo con el cuadro de diálogo Preprovisionar su certificado SSL en HubSpot. Copie los valores de Host y Datos requeridos .
5. Cuando haya terminado, haga clic en Verificar en el cuadro de diálogo Preprovisionar su certificado SSL . Puede tardar hasta cuatro horas para procesar tus cambios. Si aparece un error al hacer clic en Verificar, espere unos minutos y vuelva a hacer clic en Verificar .

Nota: si utilizas Network Solutions, Namecheap o GoDaddy, no necesitas copiar el dominio raíz. Tu proveedor agregará tu dominio raíz al final del registro de DNS automáticamente.

6. Una vez que el certificado se haya preaprovisionado correctamente, aparecerá un banner de confirmación en la pantalla de conexión al dominio. A continuación, puede seguir conectando su dominio.

Configurar un registro de Validación de control de dominio (DCV)

Si ves un error en la configuración de tu dominio que indica que "Los dominios de proxy inverso necesitan tu acción para evitar la interrupción del sitio web", se recomienda agregar un registro de Validación de control de dominio (DCV) para mantener actualizado tu certificado SSL. 

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Para cada dominio con una etiqueta Acción requerida , haga clic en el menú desplegable Acciones y seleccione Mostrar registros DNS.
4. En otra ventana o pestaña del navegador, inicie sesión en el sitio de su proveedor de dominio y acceda a sus registros DNS. Más información sobre la configuración de DNS para los proveedores más comunes. 
5. En el sitio web de su proveedor de dominios, vaya a los ajustes de DNS donde se gestionan los registros DNS.
6. Crear nuevos registros DNS, de acuerdo con el cuadro de diálogo en HubSpot. Copie los valores del registro DCV y péguelos en el nuevo registro en el sitio de su proveedor de dominio en los ajustes DNS.
7. Cuando añada un nuevo registro DCV a su cuenta DNS, los cambios DNS pueden tardar hasta 24 horas en terminar de actualizarse.

Configuración de seguridad de dominio

Puedes personalizar la configuración de seguridad para cada subdominio conectado a HubSpot. La configuración de seguridad incluye tu protocolo de sitio web (HTTP vs. HTTPS), versión TLS y encabezados de seguridad de tu sitio web.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.

Protocolo HTTPS

Puedes exigir que todas las páginas de tu sitio se carguen de manera segura en HTTPS. Una vez activado este ajuste, el contenido cargado a través de HTTP, como imágenes y hojas de estilo, no se cargará en su sitio. El contenido cargado en HTTP en un sitio HTTPS se denomina contenido combinado. Aprende a resolver errores de contenido mixto en tu página.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, seleccione la casilla de verificación Requerir HTTPS para requerir que todas las páginas del dominio se carguen de forma segura a través de HTTPS en lugar de HTTP.
5. Cuando haya terminado, haga clic en Guardar.

Versión TLS

De manera predeterminada, los servidores de HubSpot aceptan una conexión usando TLS 1.0 y superior. Las conexiones que intentan usar una versión de TLS inferior al conjunto mínimo fallarán.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en el menú desplegable Versión TLS y seleccione una opción.
5. Cuando haya terminado, haga clic en Guardar.

Encabezados de seguridad

Puedes configurar la seguridad de tu dominio y activar encabezados de seguridad para cada dominio.

HTTP Strict Transport Security (HSTS)

Puedes agregar una capa adicional de seguridad a tu sitio web activando la seguridad HTTP Strict Transport (HSTS). HSTS instruye a los navegadores para que conviertan todas las solicitudes HTTP a solicitudes HTTPS. Activar HSTS agrega el encabezado de HSTS a las respuestas a solicitudes realizadas en las URL del subdominio. Más información sobre la cabecera HSTS.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para activar HSTS, seleccione la casilla de verificación HTTP Strict Transport Security (HSTS) . 
   • Para editar el tiempo que los navegadores deben recordar para convertir las solicitudes HTTP a HTTPS, haga clic en el menú desplegable Duración (max-age) y seleccione una duración.
   • Para incluir la directiva de precarga en el encabezado HSTS del dominio, selecciona la casilla de comprobación Activar precarga. Más información sobre la precarga de HSTS.
   • Para incluir el encabezado HSTS en todos los subdominios del dominio seleccionado, seleccione la casilla de verificación Incluir subdominios . Por ejemplo, si el HSS está activado para www.examplewebsite.com y la casilla de comprobación Incluir subdominios está seleccionada, el sitio cool.www.examplewebsite.com también tendrá activado HSTS.
6. Cuando haya terminado, haga clic en Guardar.

Ajustes adicionales de seguridad del dominio (Content Hub solamente)

Si tienes una cuenta Content Hub Starter, Pro o Enterprise, puedes activar la configuración de seguridad adicional a continuación.

X-Frame-Options

Puede activar el encabezado de respuesta X-Frame-Options para mostrar si un navegador puede renderizar una página en <frame>, <iframe>, <embed>o <object> etiquetas html. Más información sobre la cabecera X-Frame-Options.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para activar X-Frame-Options, seleccione la casilla de verificación X-Frame-Options y, a continuación, haga clic en el menú desplegableDirectiva para seleccionar una opción:
   • Para evitar que las páginas de tu dominio se carguen en cualquier página en las etiquetas anteriores, selecciona negar.
   • Para permitir que las páginas de su dominio se carguen en las etiquetas anteriores sólo en su dominio, seleccione sameorigin.
6. Cuando haya terminado, haga clic en Guardar.

X-XSS-Protection

Puede activar el encabezado X-XSS-Protection para añadir una capa de seguridad a los usuarios de navegadores antiguos. La activación de la protección X-XSS impide que se carguen las páginas cuando se detectan secuencias de comandos en sitios cruzados. Más información sobre el encabezado X-XSS-Protection.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para activar el encabezado X-XSS-Protection, seleccione la casilla de verificación X-XSS-Protection y, a continuación, haga clic en el menú desplegable XSS setting y seleccione una opción:
   • Para desactivar el filtro XSS, selecciona 0.
   • Para eliminar las partes no seguras de una página cuando se detecta un ataque de secuencias de comandos en sitios cruzados, seleccione 1.
   • Para impedir la representación de una página si se detecta un ataque, seleccione 1; mode=block.
6. Cuando haya terminado, haga clic en Guardar.

X-Content-Type-Options

Puede activar la cabecera X-Content-Type-Options para excluir a las páginas de la detección de tipos MIME. Al activar esta configuración se le informa al navegador que siga los tipos MIME publicitados en los encabezados Content-Type. Más información sobre la cabecera X-Content-Type-Options.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para excluir las páginas del rastreo de tipo MIME, seleccione la casilla de verificación X-Content-Type-Options .
6. Cuando haya terminado, haga clic en Guardar.

Content-Security-Policy

Puede activar la cabecera Content-Security-Policy para controlar los recursos que el agente de usuario puede cargar en una página. Este encabezado ayuda a evitar ataques de guiones de sitios cruzados.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para controlar el recurso que el agente de usuario puede cargar, seleccione la casilla de verificación Content-Security-Policy :
   • Introducir las directivas en el campo Directivas de la política .
     • Para garantizar una funcionalidad completa en las páginas alojadas en HubSpot, se deben incluir los dominios y directivas de la siguiente tabla .
     • Para obtener una lista de otras directivas disponibles, consulte la guía de la cabecera Content-Security-Policy de Mozilla.
   • Para utilizar el encabezado Content-Security-Policy con las versiones web de los correos electrónicos de marketing, introduzca unsafe-inline como palabra clave descrita aquí. De lo contrario, se bloqueará el estilo del correo electrónico. 
   • Para permitir que los elementos <script> se ejecuten sólo si contienen un atributo nonce que coincida con el valor de cabecera generado aleatoriamente, seleccione la casilla de verificación Activar nonce.
6. Cuando haya terminado, haga clic en Guardar.

Nota: HubSpot genera automáticamente un valor aleatorio en cada solicitud para todos los scripts de HubSpot y todos los scripts alojados en HubSpot.

Los siguientes dominios y directrices deben ser incluidos para garantizar la plena funcionalidad de las páginas alojadas en HubSpot:

Content-Security-Policy-Report-Only

Puede activar la cabecera Content-Security-Policy-Informe-Only para supervisar las directivas de las políticas. Las directivas de las políticas no se aplicarán, pero se controlarán sus efectos, lo que puede resultar útil a la hora de experimentar con ellas. Más información sobre el encabezado Content-Security-Policy-Informe-Only.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para activar este encabezado, selecciona la casilla de comprobación Content-Security-Policy-Report-Only y luego ingresa tus Directivas de políticas.
6. Para permitir que los elementos <script> se ejecuten sólo si contienen un atributo nonce que coincida con el valor de cabecera generado aleatoriamente, seleccione la casilla de verificación Activar nonce.
7. Cuando haya terminado, haga clic en Guardar.

Referrer-Policy

Puede activar la cabecera Referrer-Policy para controlar cuánta información sobre el referente debe incluirse en las solicitudes. Para una definición de las directivas disponibles, consulte la guía Mozilla's Referrer-Policy.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para controlar cuánta información sobre el referente debe incluirse en las solicitudes, seleccione la casilla de verificación Política de referencia y, a continuación, haga clic en el menú desplegableDirectiva y seleccione una opción.
6. Cuando haya terminado, haga clic en Guardar.

Permissions-Policy

Puede activar la cabecera Permissions-Policy para controlar el uso de las funciones del navegador en la página, incluyendo <iframe> el contenido de los elementos.

1. En tu cuenta de HubSpot, haz clic en el icono de settings Configuración en la barra de navegación superior.
2. En el menú de la barra lateral izquierda, navega a Contenido > Dominios y URL.
3. Haga clic en el menú desplegable Acciones y seleccione Actualizar ajustes de seguridad del dominio.
4. En el panel lateral derecho, haga clic en la pestaña Cabeceras de seguridad .
5. Para controlar el uso de las funciones del navegador, seleccione la casilla de verificación Permisos-Política e introd uzca sus Directivas. Para obtener una lista de directivas, consulte laguía Permisos-Política de Mozilla en .
6. Cuando haya terminado, haga clic en Guardar.