Ultimo aggiornamento: settembre 13, 2022
HubSpot fornisce automaticamente un certificato SSL SAN standard tramite DigiCert quando si collega un dominio al proprio account. Questa operazione richiede solitamente pochi minuti, ma può richiedere fino a quattro ore.
Se avete acquistato il componente aggiuntivo SSL personalizzato, potete caricare certificati SSL personalizzati su HubSpot. È inoltre possibile configurare le impostazioni di sicurezza per ogni dominio collegato, come la versione TLS e le intestazioni di sicurezza.
Nota bene: se si verificano errori durante il processo di provisioning di SSL, si consiglia di approfondire la risoluzione degli errori dei certificati SSL.
Pre-provisionare il certificato SSL
Se state trasferendo il vostro sito esistente in HubSpot, potreste voler pre-provisionare un certificato SSL in modo da evitare tempi di inattività. È possibile pre-provisionare un certificato SSL durante la connessione di un dominio a HubSpot.
Per pre-provisionare un certificato SSL:
- Nella pagina DNS Setup del processo di connessione al dominio, apparirà un banner se il vostro sito ha un certificato SSL esistente. Fare clic su per avviare il processo di provisioning.
- Seguire le istruzioni della finestra di dialogo:
- Accedere all'account del provider DNS, ad esempio GoDaddy o Namecheap.
- Nel vostro provider DNS, accedete alla schermata Impostazioni DNS in cui si gestiscono i record DNS.
- Creare nuovi record DNS come indicato nella finestra di dialogo, utilizzando i valori Host (nome) e Value forniti nella finestra di dialogo.
Nota bene: se si utilizza Network Solutions, Namecheap o GoDaddy, non è necessario copiare il dominio principale. Il vostro provider aggiungerà automaticamente un dominio principale alla fine del record DNS.
- Fare clic su Verifica. L'elaborazione delle modifiche può richiedere fino a quattro ore. Se si verifica un errore quando si fa clic su Verify, attendere qualche minuto e poi fare clic su Verify per verificare nuovamente.
Una volta che il certificato è stato pre-provisionato, nella schermata di connessione al dominio apparirà un banner di conferma. È quindi possibile continuare a connettere il dominio.
Impostazioni di sicurezza del dominio
È possibile personalizzare le impostazioni di sicurezza per ogni sottodominio collegato a HubSpot. Le impostazioni di sicurezza includono il protocollo del sito web (HTTP o HTTPS), la versione TLS e le intestazioni di sicurezza del sito web.
Per aggiornare le impostazioni di sicurezza di un dominio:
- Nel tuo account HubSpot, clicca sull'icona delle impostazioni nella barra di navigazione principale.
- Nel menu della barra laterale sinistra, navigare su Sito web > Domini e URL.
- Fare clic su Modifica accanto al dominio, quindi selezionare Aggiornare le impostazioni di sicurezza del dominio.
Protocollo HTTPS
È possibile richiedere che tutte le pagine del sito vengano caricate in modo sicuro tramite HTTPS. Una volta attivata questa opzione, il contenuto caricato su HTTP, come le immagini e i fogli di stile, non verrà caricato sul sito. Il contenuto caricato su HTTP in un sito HTTPS viene definito contenuto misto. Scoprite come risolvere gli errori di contenuto misto sulla vostra pagina.
Per attivare il protocollo HTTPS, selezionare la casella di controllo Richiedi HTTPS la casella di controllo.
Versione TLS
Per impostazione predefinita, i server HubSpot accettano una connessione con TLS 1.0 o superiore.
Per modificare le versioni TLS supportate, fare clic sul menu a discesa Versione TLS e selezionare la versione TLS più bassa che si desidera supportare. Le connessioni che tentano di utilizzare una versione TLS inferiore a quella minima impostata falliranno.
Intestazioni di sicurezza
È possibile configurare la sicurezza del dominio e attivare le intestazioni di sicurezza per ogni dominio.
Sicurezza del trasporto HTTP (HSTS)
È possibile aggiungere un ulteriore livello di sicurezza al proprio sito web attivando l'HTTP Strict Transport Security (HSTS). HSTS indica ai browser di convertire tutte le richieste HTTP in richieste HTTPS. L'attivazione di HSTS aggiunge l'intestazione HSTS alle risposte delle richieste effettuate agli URL del sottodominio.
- Per attivare HSTS, fare clic sulla scheda Intestazioni di sicurezza e selezionare la casella di controllo HTTP Strict Transport Security (HSTS).
- Per impostare il tempo che i browser devono ricordare per convertire le richieste HTTP in HTTPS, fare clic sul menu a discesa Durata (max-age) e selezionare una durata.
- Per includere la direttiva di precaricamento nell'intestazione HSTS del dominio, selezionare la casella di controllo Abilita precaricamento. Per saperne di più sul precaricamento HSTS.
- Per includere l'intestazione HSTS in tutti i sottodomini sotto il sottodominio selezionato, selezionare la casella di controllo Includi sottodomini. Ad esempio, se HSTS è abilitato per www.examplewebsite.com e la casella di controllo Includi sottodomini è selezionata, anche cool.www.examplewebsite.com avrà HSTS abilitato.
Per saperne di più sull'intestazione HSTS.
Impostazioni aggiuntive di sicurezza del dominio (Hub CMS solo)
Se si dispone di un Hub CMS è possibile attivare le impostazioni di sicurezza aggiuntive riportate di seguito.
X-Frame-Options
Abilitare l'intestazione di risposta X-Frame-Options per indicare se un browser può rendere una pagina in tag HTML <frame>, <iframe>, <embed> o <object>.
Per abilitare le opzioni X-Frame, selezionare la casella di controllo X-Frame-Options, quindi selezionare una direttiva dal menu a discesa:
- Per impedire che le pagine del vostro dominio vengano caricate su qualsiasi pagina dei tag sopra citati, selezionate deny.
- Per consentire alle pagine del proprio dominio di essere caricate con i tag di cui sopra solo nel proprio dominio, selezionare sameorigin.
Per saperne di più sull'intestazione X-Frame-Options.
Protezione X-XSS
Abilitare l'intestazione X-XSS-Protection per aggiungere un livello di sicurezza per gli utenti dei browser più vecchi, impedendo il caricamento delle pagine quando viene rilevato il cross-site scripting.
Per abilitare questa intestazione, selezionare la casella di controllo X-XSS-Protection, quindi selezionare un'impostazione XSS dal menu a discesa:
- Per disabilitare il filtraggio XSS, selezionare 0.
- Per rimuovere le parti non sicure di una pagina quando viene rilevato un attacco di tipo cross-site scripting, selezionare 1.
- Per impedire il rendering di una pagina se viene rilevato un attacco, selezionare 1; mode=block.
Per saperne di più sull'intestazione X-XSS-Protection.
X-Content-Type-Options
Abilitare l'intestazione X-Content-Type-Options per escludere le pagine dallo sniffing dei tipi MIME. Abilitando questa impostazione, il browser seguirà i tipi MIME pubblicizzati nelle intestazioni Content-Type.
Per saperne di più sull'intestazione X-Content-Type-Options.
Politica di sicurezza dei contenuti
Abilitare l'intestazione Content-Security-Policy per controllare le risorse che l'interprete può caricare in una pagina. Questa intestazione aiuta a prevenire gli attacchi cross-site scripting.
Per abilitare l'intestazione Content-Security-Policy, selezionare la casella Content-Security-Policy, quindi specificare le direttive di Policy. Per un elenco delle direttive disponibili, consultare la guida all'intestazione Content-Security-Policy di Mozilla.
Per consentire l'esecuzione degli elementi <script> solo se contengono un attributo nonce che corrisponde al valore dell'intestazione generato casualmente, selezionare Abilita nonce.
Nota bene: HubSpot genera automaticamente un valore casuale a ogni richiesta per tutti gli script di HubSpot e per tutti gli script ospitati su HubSpot.
I seguenti domini devono essere inclusi per garantire la piena funzionalità delle pagine ospitate da HubSpot:
-
cdn2.hubspot.net
-
*.hubspot.com
-
*.hubspotusercontentxx.net (dove xx può essere 00, 10, 20, 30, 40)
-
js.hscollectedforms.net
-
js.hsleadflows.net
-
js.hs-scripts.com
-
js.hsadspixel.net
-
js.hs-analytics.net
-
js.hs-banner.com
-
js.hs-banner.net
-
*.hsforms.net
-
*.hsforms.com
-
static.hsappstatic.net
-
js.hubspotfeedback.com
-
feedback.hubapi.com
-
js.usemessages.com
-
*.vidyard.com
Contenuto-Sicurezza-Policy-Report-Only
Abilitare l'intestazione Content-Security-Policy-Report-Only per monitorare le direttive dei criteri. Le direttive dei criteri non saranno applicate, ma gli effetti saranno monitorati, il che può essere utile quando si sperimentano i criteri.
Per abilitare questa intestazione, selezionare la casella di controllo Content-Security-Policy-Report-Only, quindi inserire le direttive del criterio.
Per consentire l'esecuzione degli elementi <script> solo se contengono un attributo nonce che corrisponde al valore dell'intestazione generato casualmente, selezionare Abilita nonce.
Per saperne di più sull'intestazione Content-Security-Policy-Report-Only.
Politica dei referenti
Abilitare l'intestazione Referrer-Policy per controllare la quantità di informazioni sul referente da includere nelle richieste.
Per attivare questa intestazione, selezionare la casella di controllo Politica dei referenti, quindi selezionare una direttiva dal menu a discesa.
Per una definizione delle direttive disponibili, vedere la guida Referrer-Policy di Mozilla.
Politica delle caratteristiche
Abilitare l'intestazione Feature-Policy per controllare l'uso delle funzionalità del browser nella pagina, compreso il contenuto dell'elemento <iframe>.
Per abilitare questa intestazione, selezionare la casella di controllo Feature-Policy, quindi inserire le direttive. Per un elenco delle direttive, consultare la guida alle politiche sulle caratteristiche di Mozilla.
