SSL e sicurezza del dominio in HubSpot

Quando colleghi un dominio al tuo account, HubSpot provvede automaticamente all'attivazione di un certificato SSL SAN standard tramite Google Trust Services. L'attivazione del certificato SSL standard richiede solitamente pochi minuti, ma può richiedere fino a quattro ore,

Pre-fornire un certificato SSL

Se stai trasferendo il tuo sito esistente su HubSpot, potresti voler pre-fornire un certificato SSL in modo che non ci siano tempi di inattività SSL. Puoi pre-fornire un certificato SSL mentre colleghi un dominio a HubSpot.

1. Durante il processo di connessione per un dominio, verrà visualizzato un banner se il tuo sito dispone già di un certificato SSL. Fai clic su "Pre-provisioning" e segui le istruzioni nella finestra di dialogo per avviare il processo di provisioning.

2. In una finestra o scheda separata del browser, accedi al sito del tuo provider di dominio (ad esempio, GoDaddy o Namecheap).
3. Sul sito del tuo provider di dominio, vai alle impostazioni DNSdove gestisci i tuoi record DNS.
4. Crea nuovi record DNS, in base alla finestra di dialogo Pre-provisioning del certificato SSLin HubSpot. Copia i valoriHost e Dati richiesti.
5. Al termine, clicca su Verificanella finestra di dialogo Pre-provisiona il tuo certificato SSL. L'elaborazione delle modifiche può richiedere fino a quattro ore. Se ricevi un errore quando clicchi su Verifica, attendi qualche minuto, quindi clicca nuovamente su Verifica per riprovare.

Nota: se utilizzi Network Solutions, Namecheap o GoDaddy, non è necessario copiare il dominio principale. Il tuo provider aggiungerà automaticamente un dominio principale alla fine del record DNS.

6. Una volta che il certificato è stato pre-provisionato con successo, apparirà un banner di conferma nella schermata di connessione del dominio. A questo punto puoi continuare a collegare il tuo dominio.

Configurare un record di convalida del controllo del dominio (DCV)

Se nelle impostazioni del dominio viene visualizzato un errore che indica che "I domini proxy inversi richiedono un intervento da parte tua per evitare interruzioni del sito web", si consiglia di aggiungere un record di convalida del controllo del dominio (DCV) per mantenere aggiornato il certificato SSL.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Per ogni dominio conl'etichetta Azione richiesta, clicca sul menua tendina Azioni e selezionaMostra record DNS.
4. In una finestra o scheda separata del browser, accedi al sito del tuo provider di domini e accedi ai tuoi record DNS. Scopri di più sulla configurazione DNS per i provider più comuni.
5. Sul sito del tuo provider di domini, vai alle impostazioni DNSdove gestisci i tuoi record DNS.
6. Crea nuovi record DNS seguendo le istruzioni della finestra di dialogo in HubSpot. Copia i valori del record DCV e incollali nel nuovo record sul sito del tuo provider di dominio, nelle impostazioni DNS.
7. Quando aggiungi un nuovo record DCV al tuo account DNS, possono essere necessarie fino a 24 ore prima che le modifiche al DNS vengano completate.

Aggiorna le impostazioni di sicurezza del dominio

Aggiorna le impostazioni di sicurezza per ogni sottodominio collegato a HubSpot. Le impostazioni di sicurezza includono il protocollo del tuo sito web (HTTP o HTTPS), la versione TLS e le intestazioni di sicurezza del tuo sito web.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuti > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.

Protocollo HTTPS

Richiedi che tutte le pagine del tuo sito vengano caricate in modo sicuro tramite HTTPS. Una volta attivata questa impostazione, i contenuti caricati tramite HTTP, come immagini e fogli di stile, non verrannocaricati sul tuo sito. I contenuti caricati tramite HTTP su un sito HTTPS sono denominati "contenuti misti". Scopri come risolvere gli errori relativi ai contenuti misti sulla tua pagina.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, seleziona la casella di controllo Richiedi HTTPS per imporre che tutte le pagine del dominio vengano caricate in modo sicuro tramite HTTPS anziché HTTP.
5. Al termine, clicca su Salva.

Versione TLS

Per impostazione predefinita, i server HubSpot accetteranno una connessione che utilizza TLS 1.2 e versioni successive. Le connessioni che tentano di utilizzare una versione TLS inferiore al minimo impostato falliranno.

Nota: alcune scansioni di sicurezza potrebbero mostrare versioni TLS precedenti (ad esempio, TLS 1.0) sugli indirizzi IP di Cloudflare utilizzati per fornire i contenuti ospitati da HubSpot. Ciò non influisce sulla sicurezza del tuo sito. Il tuo sito viene servito utilizzando la versione TLS configurata per il tuo dominio, ad esempio TLS 1.2.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, clicca sul menu a tendina Versione TLS e seleziona un'opzione.
5. Al termine, clicca su Salva.

Intestazioni di sicurezza

Configura la sicurezza del tuo dominio e attiva le intestazioni di sicurezza per ciascun dominio.

HTTP Strict Transport Security (HSTS)

Aggiungi un ulteriore livello di sicurezza al tuo sito web abilitando HTTP Strict Transport Security (HSTS). HSTS indica ai browser di convertire tutte le richieste HTTP in richieste HTTPS. L'abilitazione di HSTS aggiunge l'intestazione HSTS alle risposte per le richieste effettuate agli URL sul sottodominio. Scopri di più sull'intestazione HSTS.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello di destra, clicca sulla scheda Intestazioni di sicurezza.
5. Per abilitare HSTS, seleziona la casella di controllo HTTP Strict Transport Security (HSTS). 
   • Per modificare la durata per cui i browser devono ricordare di convertire le richieste HTTP in HTTPS, clicca sul menu a tendina Durata (max-age) e seleziona una durata.
   • Per includere la direttiva di precaricamento nell'intestazione HSTS del dominio, seleziona la casella di controllo Abilita precaricamento. Scopri di più sul precaricamento HSTS.
   • Per includere l'intestazione HSTS in tutti i sottodomini del dominio selezionato, seleziona la casella di controllo Includi sottodomini. Ad esempio, se HSTS è attivato per www.examplewebsite.com e la casella di controllo Includi sottodomini è selezionata, anche cool.www.examplewebsite.com avrà HSTS attivato.
6. Al termine, fare clic su Salva.

Impostazioni di sicurezza aggiuntive per il dominio

Configura ulteriori intestazioni di sicurezza del dominio per controllare il modo in cui i browser caricano i contenuti, gestiscono le richieste e applicano le protezioni sul tuo dominio. Queste impostazioni aiutano a prevenire vulnerabilità comuni, come il cross-site scripting e l'incorporamento non autorizzato di contenuti.

X-Frame-Options

Attiva l'intestazione di risposta X-Frame-Options per indicare se un browser può visualizzare una pagina nei tag HTML <frame>, <iframe>, <embed> o <object>. Scopri di più sull'intestazione X-Frame-Options.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuti > Domini e URL.
3. Fare clic sul menua discesa Azioni e selezionare Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, clicca sulla scheda Intestazioni di sicurezza.
5. Per attivare X-Frame-Options, seleziona la casella di controllo X-Frame-Options, quindi fai clic sul menu a discesaDirettiva per selezionare un'opzione:
   • Per impedire che le pagine del tuo dominio vengano caricate su qualsiasi pagina nei tag sopra indicati, seleziona deny.
   • Per consentire il caricamento delle pagine del tuo dominio nei tag sopra indicati solo all'interno del tuo dominio, seleziona sameorigin.
6. Al termine, fare clic su Salva.

X-XSS-Protection

Attiva l'intestazione X-XSS-Protection per aggiungere un ulteriore livello di sicurezza per gli utenti di browser web meno recenti. L'attivazione di X-XSS-Protection impedisce il caricamento delle pagine quando viene rilevato il cross-site scripting. Scopri di più sull'intestazione X-XSS-Protection.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, clicca sulla scheda Intestazioni di sicurezza.
5. Per attivare l'intestazione X-XSS-Protection, seleziona la casella di controllo X-XSS-Protection, quindi clicca sul menu a tendinaImpostazioni XSS e seleziona un'opzione:
   • Per disabilitare il filtraggio XSS, seleziona 0.
   • Per rimuovere le parti non sicure di una pagina quando viene rilevato un attacco cross-site scripting, seleziona 1.
   • Per impedire il rendering di una pagina se viene rilevato un attacco, seleziona 1; mode=block.
6. Al termine, fare clic su Salva.

X-Content-Type-Options

Attiva l'intestazione X-Content-Type-Options per escludere le pagine dal rilevamento del tipo MIME. L'abilitazione di questa impostazione indica al browser di seguire i tipi MIME indicati nelle intestazioni Content-Type. Scopri di più sull'intestazione X-Content-Type-Options.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, clicca sulla scheda Intestazioni di sicurezza.
5. Per escludere le pagine dal rilevamento del tipo MIME, seleziona la casella di controllo X-Content-Type-Options.
6. Al termine, clicca su Salva.

Content-Security-Policy

Attiva l'intestazione Content-Security-Policy per controllare le risorse che l'user agent può caricare su una pagina. Questa intestazione aiuta a prevenire attacchi di cross-site scripting.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, clicca sulla scheda Intestazioni di sicurezza.
5. Per controllare le risorse che l'user agent può caricare, seleziona la casella di controllo Content-Security-Policy:
   • Inserisci le direttive nel campo Direttive della politica.
     • Per garantire la piena funzionalità sulle pagine ospitate da HubSpot, è necessario includere i domini e le direttive riportati nella tabella seguente.
     • Per un elenco di altre direttive disponibili, consultala guida di Mozilla sull'intestazione Content-Security-Policy.
   • Per utilizzare l’intestazione Content-Security-Policy con le versioni web delle email di marketing, inserisci unsafe-inline come parola chiave descritta qui. In caso contrario, lo styling dell’email verrà bloccato.
   • Per consentire l'esecuzione degli elementi <script> solo se contengono un attributo nonce corrispondente al valore dell'intestazione generato in modo casuale, seleziona lacasella di controlloAbilita nonce.
6. Al termine, fare clic su Salva.

Nota: HubSpot genera automaticamente un valore casuale ad ogni richiesta per tutti gli script provenienti da HubSpot e tutti gli script ospitati su HubSpot.

Per garantire la piena funzionalità delle pagine ospitate su HubSpot, è necessario includere i seguenti domini e direttive:

Content-Security-Policy-Report-Only

Attiva l'intestazione Content-Security-Policy-Report-Only per monitorare le direttive delle politiche. Le direttive delle politiche non saranno applicate, ma gli effetti saranno monitorati, il che può essere utile quando si sperimentano le politiche. Scopri di più sull'intestazione Content-Security-Policy-Report-Only.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, clicca sulla scheda Intestazioni di sicurezza.
5. Per attivare questa intestazione, seleziona la casella di controllo Content-Security-Policy-Report-Only, quindi inserisci le tue direttive di policy.
6. Per consentire l'esecuzione degli elementi <script> solo se contengono un attributo nonce corrispondente al valore dell'intestazione generato casualmente, seleziona la casella di controlloAbilita nonce.
7. Al termine, clicca su Salva.

Referrer-Policy

Attiva l'intestazione Referrer-Policy per controllare la quantità di informazioni sul referrer da includere nelle richieste. Per una definizione delle direttive disponibili, consulta la guida Referrer-Policy di Mozilla.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, fare clic sulla scheda Intestazioni di sicurezza.
5. Per controllare la quantità di informazioni sul referrer da includere nelle richieste, seleziona la casella di controllo Referrer-Policy, quindi fai clic sul menu a discesaDirettiva e seleziona un'opzione.
6. Al termine, clicca su Salva.

Permissions-Policy

Attiva l'intestazione Permissions-Policy per controllare l'uso delle funzionalità del browser sulla pagina, compreso il contenuto dell'elemento <iframe>.

1. Nel tuo account HubSpot, fai clic sulle icona delle impostazioni nella barra di navigazione principale.
2. Nel menu della barra laterale sinistra, vai su Contenuto > Domini e URL.
3. Fai clic sul menua discesa Azioni e seleziona Aggiorna impostazioni di sicurezza del dominio.
4. Nel pannello laterale destro, fare clic sulla scheda Intestazioni di sicurezza.
5. Per controllare l'uso delle funzionalità del browser, seleziona la casella di controllo Permissions-Policy, quindi inserisci le tue direttive. Per un elenco delle direttive, consulta la guida Permissions-Policy di Mozilla.
6. Al termine, clicca su Salva.