Ultimo aggiornamento: marzo 23, 2022
HubSpot fornisce automaticamente un certificato SSL SAN standard attraverso DigiCert quando colleghi un dominio al tuo account. Questo di solito richiede pochi minuti, ma può richiedere fino a quattro ore.
Se hai acquistato l'add-on SSL personalizzato, puoi caricare certificati SSL personalizzati su HubSpot. Puoi anche configurare le impostazioni di sicurezza per ogni dominio collegato, come la versione TLS e le intestazioni di sicurezza.
Nota:se incontri degli errori durante il processo di provisioning SSL, scopri di più sulla risoluzione degli errori dei certificati SSL.
Predisponi il tuo certificato SSL
Se stai spostando il tuo sito esistente su HubSpot, potresti voler pre-provisionare un certificato SSL in modo che non ci siano tempi morti SSL.Puoi pre-provisionare un certificato SSL mentrecolleghi un dominio a HubSpot.
Per pre-provisionare un certificato SSL:
- Nella paginaDNS Setupdel processo di connessione al dominio, apparirà un banner se il tuo sito ha un certificato SSL esistente. Fai clic suClicca quiper iniziare il processo di fornitura.
- Seguite le istruzioni nella finestra di dialogo:
- Accedete all'account del vostro provider DNS, come GoDaddy o Namecheap.
- Nel vostro provider DNS, passate alla schermata delle impostazioniDNS dove gestite i vostri record DNS.
- Create nuovi record DNS secondo la finestra di dialogo usando ivaloriHost (nome)e Valueforniti nella finestra di dialogo.
Si prega di notare:se stai usandoNetwork Solutions, Namecheap, o GoDaddy, non hai bisogno di copiare il dominio root. Il tuo provider aggiungerà un dominio root alla fine del record DNS automaticamente.
- Clicca suVerifica. Le modifiche possono richiedere fino a quattro ore per essere elaborate. Se ottieni un errore quando clicchi suVerify, aspetta qualche minuto e poi clicca suVerifyper controllare di nuovo.
Una volta che il tuo certificato è stato pre-provisionato, un banner di conferma apparirà nella schermata di connessione del dominio. Puoi quindi continuare a connettere il tuo dominio.
Impostazioni di sicurezza del dominio
Puoi personalizzare le impostazioni di sicurezza per ogni sottodominio collegato a HubSpot. Le impostazioni di sicurezza includono il protocollo del tuo sito web (HTTP vs. HTTPS), la versione TLS e le intestazioni di sicurezza del tuo sito web.
Per aggiornare le impostazioni di sicurezza di un dominio:
- Nel tuo account HubSpot, clicca sull'icona delle impostazioni nella barra di navigazione principale.
- Nel menu laterale sinistro, vai aWebsite > Domains & URLs.
- Fai clic su Modifica accanto al dominio, quindi selezionaAggiorna le impostazioni di sicurezza del dominio.
Protocollo HTTPS
Puoi richiedere che tutte le pagine del tuo sito siano caricate in modo sicuro su HTTPS. Una volta abilitato, il contenuto caricato su HTTP, come immagini e fogli di stile, non sarà caricato sul tuo sito. Il contenuto caricato su HTTP su un sito HTTPS viene definito contenuto misto. Scopri come risolvere gli errori di contenuto misto sulla tua pagina.
Per attivare il protocollo HTTPS, seleziona lacasella di controlloRequire HTTPS.
Versione TLS
Per impostazione predefinita, i server HubSpot accettano una connessione utilizzando TLS 1.0 e superiori.
Per cambiare quali versioni TLS sono supportate, clicca sul menu a tendina TLS version e seleziona laversione TLS più bassa che vuoi supportare. Le connessioni che tentano di usare una versione TLS inferiore a quella minima impostata falliranno.
Intestazioni di sicurezza
Puoi configurare la sicurezza del tuo dominio e attivare le intestazioni di sicurezza per ogni dominio.
HTTP Strict Transport Security (HSTS)
Puoi aggiungere un ulteriore livello di sicurezza al tuo sito web abilitando HTTP Strict Transport Security (HSTS). HSTS indica ai browser di convertire tutte le richieste HTTP in richieste HTTPS. Abilitando HSTS si aggiunge l'intestazione HSTS alle risposte per le richieste fatte agli URL del sottodominio.
- Per abilitare HSTS, clicca sulla scheda Security headers, poi seleziona la casella di controlloHTTP Strict Transport Security (HSTS).
- Per impostare per quanto tempo i browser dovrebbero ricordarsi di convertire le richieste HTTP in HTTPS, clicca sul menu a tendina Duration (max-age) e seleziona unadurata.
- Per includere la direttiva di precaricamento nell'intestazione HSTS del dominio, seleziona la casella di controllo Enable preload. Per saperne di più sul precaricamento HSTS.
- Per includere l'intestazione HSTS in tutti i sottodomini sotto il sottodominio selezionato, seleziona la casella di controllo Includi sottodomini. Per esempio, se HSTS è abilitato perwww.examplewebsite.com e la casella di controlloIncludi sottodominiè selezionata, anchecool.www.examplewebsite.com avrà HSTS abilitato.
Per saperne di più sull'intestazione HSTS.
Ulteriori impostazioni di sicurezza del dominio (Centro CMS solo)
Se avete unHub CMS account, puoi abilitare le impostazioni di sicurezza aggiuntive qui sotto.
X-Frame-Options
Abilita l'intestazione di risposta X-Frame-Options per indicare se un browser può rendere una pagina in tag HTML <frame>, <iframe>, <embed> o <object>.
Per abilitare le opzioni X-Frame, seleziona la casella di controllo X-Frame-Options, poi seleziona unadirettiva dal menu a discesa:
- Per evitare che le pagine del tuo dominio siano caricate su qualsiasi pagina nei tag di cui sopra, seleziona deny.
- Per permettere alle pagine del tuo dominio di caricarsi nei tag di cui sopra solo sul tuo dominio, selezionasameorigin.
Per saperne di più sull'intestazione X-Frame-Options.
X-XSS-Protection
Abilita l'intestazione X-XSS-Protection per aggiungere un livello di sicurezza per gli utenti dei vecchi browser web, impedendo il caricamento delle pagine quando viene rilevato il cross-site scripting.
Per abilitare questa intestazione, seleziona la casella di controllo X-XSS-Protection, poi seleziona un'impostazione XSS dal menu a discesa:
- Per disabilitare il filtraggio XSS, seleziona0.
- Per rimuovere le parti non sicure di una pagina quando viene rilevato un attacco cross-site scripting, selezionare1.
- Per impedire il rendering di una pagina se viene rilevato un attacco, selezionate1; mode=block.
Per saperne di più sull'intestazione X-XSS-Protection.
X-Content-Type-Options
Abilita l'intestazione X-Content-Type-Options per escludere le pagine dallo sniffing del tipo MIME. Abilitando questa impostazione si dice al browser di seguire i tipi MIME pubblicizzati nelle intestazioni Content-Type.
Per saperne di più sull'intestazione X-Content-Type-Options.
Content-Security-Policy
Abilita l'intestazione Content-Security-Policy per controllare le risorse che l'interprete può caricare su una pagina. Questa intestazione aiuta a prevenire gli attacchi di cross-site scripting.
Per abilitare l'intestazione Content-Security-Policy, seleziona la casellaContent-Security-Policy, poi specifica le tue direttive di policy. Per una lista di direttive disponibili, controlla la guida all'intestazione Content-Security-Policy di Mozilla.
Per permettere agli elementi <script> di essere eseguiti solo se contengono un attributo nonce corrispondente al valore dell'intestazione generato casualmente, selezionareEnable nonce.
I seguenti domini dovrebbero essere inclusi per garantire la piena funzionalità sulle pagine ospitate da HubSpot:
-
cdn2.hubspot.net
-
*.hubspot.com
-
*.hubspotusercontentxx.net (dove xx può essere 00, 10, 20, 30, 40)
-
js.hscollectedforms.net
-
js.hsleadflows.net
-
js.hs-scripts.com
-
js.hsadspixel.net
-
js.hs-analytics.net
-
js.hs-banner.com
-
js.hs-banner.net
-
*.hsforms.net
-
*.hsforms.com
-
statico.hsappstatic.net
-
js.hubspotfeedback.com
-
feedback.hubapi.com
-
js.usemessages.com
-
*.vidyard.com
Content-Security-Policy-Report-Only
Abilita l'intestazione Content-Security-Policy-Report-Only per monitorare le direttive della policy. Le direttive di policy non saranno applicate, ma gli effetti saranno monitorati, il che può essere utile quando si sperimentano le policy.
Per abilitare questa intestazione, seleziona la casella di controlloContent-Security-Policy-Report-Only, poi inserisci le tuedirettive di politica.
Per permettere agli elementi <script> di essere eseguiti solo se contengono un attributo nonce corrispondente al valore dell'intestazione generato casualmente, selezionareEnable nonce.
Per saperne di più sull'intestazione Content-Security-Policy-Report-Only.
Referrer-Policy
Abilitare l'intestazione Referrer-Policy per controllare quante informazioni sul referente devono essere incluse nelle richieste.
Per abilitare questa intestazione, seleziona la casella di controlloReferrer-Policy, poi seleziona unadirettiva dal menu a discesa.
Per una definizione delle direttive disponibili, vedere la guida Referrer-Policy di Mozilla.
Feature-Policy
Abilita l'intestazione Feature-Policy per controllare l'uso delle caratteristiche del browser sulla pagina, incluso il contenuto dell'elemento <iframe>.
Per abilitare questa intestazione, selezionate la casella di controlloFeature-Policy, quindi inserite le vostredirettive. Per una lista di direttive, vedi la guida Feature-Policy di Mozilla.
