HubSpot fornisce automaticamente un certificato SSL SAN standard attraverso Google Trust Services quando si collega un dominio al proprio account. Questa operazione richiede solitamente pochi minuti, ma può richiedere fino a quattro ore.
Se avete acquistato il componente aggiuntivo SSL personalizzato, potete caricare certificati SSL personalizzati su HubSpot. È inoltre possibile configurare le impostazioni di sicurezza per ogni dominio collegato, come la versione TLS e le intestazioni di sicurezza.
Nota bene: se si verificano errori durante il processo di provisioning SSL, si consiglia di approfondire la risoluzione degli errori dei certificati SSL.
Se state trasferendo il vostro sito esistente in HubSpot, potreste voler pre-provisionare un certificato SSL in modo da evitare tempi di inattività. È possibile pre-provisionare un certificato SSL durante la connessione di un dominio a HubSpot.
Per pre-provisionare un certificato SSL:
Nota bene: se si utilizza Network Solutions, Namecheap o GoDaddy, non è necessario copiare il dominio principale. Il vostro provider aggiungerà automaticamente un dominio principale alla fine del record DNS.
Una volta che il certificato è stato pre-provisionato, nella schermata di connessione al dominio apparirà un banner di conferma. È quindi possibile continuare a connettere il dominio.
Se nelle impostazioni del dominio viene visualizzato un errore che indica che "I domini con proxy inverso necessitano di un intervento da parte vostra per evitare interruzioni del sito web", si consiglia di aggiungere un record Domain Control Validation (DCV) per mantenere aggiornato il certificato SSL.
È possibile personalizzare le impostazioni di sicurezza per ogni sottodominio collegato a HubSpot. Le impostazioni di sicurezza includono il protocollo del sito web (HTTP o HTTPS), la versione TLS e le intestazioni di sicurezza del sito web.
Per aggiornare le impostazioni di sicurezza di un dominio:
È possibile richiedere che tutte le pagine del sito vengano caricate in modo sicuro tramite HTTPS. Una volta attivata questa impostazione, il contenuto caricato su HTTP, come immagini e fogli di stile, non verrà caricato sul sito. Il contenuto caricato su HTTP in un sito HTTPS viene definito contenuto misto. Scoprite come risolvere gli errori di contenuto misto sulla vostra pagina.
Per attivare il protocollo HTTPS, selezionare lacasella di controllo Richiedi HTTPS .
Per impostazione predefinita, i server HubSpot accettano una connessione con TLS 1.0 o superiore.
Per modificare le versioni TLS supportate, fare clic sul menu a discesa Versione TLS e selezionare la versione TLS più bassa che si desidera supportare. Le connessioni che tentano di utilizzare una versione TLS inferiore a quella minima impostata falliranno.
È possibile configurare la sicurezza del dominio e attivare le intestazioni di sicurezza per ogni dominio.
È possibile aggiungere un ulteriore livello di sicurezza al proprio sito web attivando l'HTTP Strict Transport Security (HSTS). HSTS indica ai browser di convertire tutte le richieste HTTP in richieste HTTPS. L'attivazione di HSTS aggiunge l'intestazione HSTS alle risposte delle richieste effettuate agli URL del sottodominio.
Per saperne di più sull'intestazione HSTS.
Se si dispone di un account Content Hub Starter, Professional o Enterprise , è possibile attivare le impostazioni di sicurezza aggiuntive riportate di seguito.
Attivare l'intestazione di risposta X-Frame-Options per indicare se un browser può rendere una pagina in tag HTML <frame>, <iframe>, <embed> o <object>.
Per attivare le opzioni X-Frame, selezionare la casella di controllo X-Frame-Options, quindi selezionare una direttiva dal menu a discesa:
Per saperne di più sull'intestazione X-Frame-Options.
Attivare l'intestazione X-XSS-Protection per aggiungere un livello di sicurezza per gli utenti dei browser più vecchi, impedendo il caricamento delle pagine quando viene rilevato il cross-site scripting.
Per attivare questa intestazione, selezionare la casella di controllo X-XSS-Protection, quindi selezionare un'impostazione XSS dal menu a discesa:
Per saperne di più sull'intestazione X-XSS-Protection.
Attivare l'intestazione X-Content-Type-Options per escludere le pagine dallo sniffing dei tipi MIME. L'attivazione di questa impostazione indica al browser di seguire i tipi MIME pubblicizzati nelle intestazioni Content-Type.
Per saperne di più sull'intestazione X-Content-Type-Options.
Attivare l'intestazione Content-Security-Policy per controllare le risorse che l'interprete può caricare in una pagina. Questa intestazione aiuta a prevenire gli attacchi cross-site scripting.
Per attivare l'intestazione Content-Security-Policy, selezionare la casella Content-Security-Policy, quindi specificare le direttive di Policy. Per un elenco delle direttive disponibili, consultare la guida all'intestazione Content-Security-Policy di Mozilla.
Per utilizzare l'intestazione Content-Security-Policy con le versioni web delle e-mail di marketing, aggiungere la parola chiave "unsafe-inline", come descritto qui. In caso contrario, lo styling dell'e-mail verrà bloccato.
Per consentire l'esecuzione degli elementi <script> solo se contengono un attributo nonce che corrisponde al valore dell'intestazione generato casualmente, selezionare Abilita nonce.
Nota bene: HubSpot genera automaticamente un valore casuale a ogni richiesta per tutti gli script di HubSpot e per tutti gli script ospitati su HubSpot.
Per garantire la piena funzionalità delle pagine ospitate da HubSpot, è necessario includere i seguenti domini e direttive:
| Dominio* | Direttiva(e) | Strumento |
| *.hsadspixel.net | script-src | Annunci |
| *.hs-analytics.net | script-src | Analisi |
| *.hubapi.com | connetti-src | Chiamate API (HubDB, invio di moduli) |
| js.hscta.net | script-src, img-src, connect-src | Chiamate all'azione (pulsante) |
| js-eu1.hscta.net (solo hosting di dati europei) | script-src, img-src, connect-src | Chiamate all'azione (pulsante) |
| no-cache.hubspot.com | img-src | Chiamate all'azione (pulsante) |
| *.hubspot.com | script-src, img-src, connect-src, frame-src | Chiamate all'azione (pop-up), flussi di chat |
| *.hs-sites.com | frame-src | Chiamate all'azione (pop-up) |
| *.hs-sites-eu1.com (solo hosting di dati europei) | frame-src | Chiamate all'azione (pop-up) |
| static.hsappstatic.net | script-src | Contenuto (menu a spirale, incorporazione di video) |
| *.usemessages.com | script-src | Conversazioni, flussi di chat |
| *.hs-banner.com | script-src, connect-src | Banner per i cookie |
| *.hubspotusercontent##.net (## può essere 00, 10, 20, 30 o 40) | script-src, img-src, style-src | File |
| *.hubspot.net | script-src, img-src, frame-src | File |
| play.hubspotvideo.com | frame-src | File (video) |
| play-eu1.hubspotvideo.com (solo hosting di dati europei) | frame-src | File (video) |
| cdn2.hubspot.net | img-src, style-src | File, fogli di stile |
| Il vostro dominio collegato a HubSpot | frame-src, style-src, script-src | File, fogli di stile |
| *.hscollectedforms.net | script-src, connect-src | Moduli (moduli non HubSpot) |
| *.hsleadflows.net | script-src | Moduli (moduli a comparsa) |
| *.hsforms.net | script-src, img-src, frame-src | Moduli, sondaggi |
| *.hsforms.com | script-src, img-src, frame-src, connect-src, child-src | Moduli, sondaggi |
| *.hs-scripts.com | script-src | Codice di monitoraggio HubSpot |
| *.hubspotfeedback.com | script-src | Sondaggi |
| feedback.hubapi.com | script-src | Sondaggi |
| feedback-eu1.hubapi.com (solo hosting di dati europei) | script-src | Sondaggi |
Attivare l'intestazione Content-Security-Policy-Report-Only per monitorare le direttive dei criteri. Le direttive dei criteri non saranno applicate, ma gli effetti saranno monitorati, il che può essere utile quando si sperimentano i criteri.
Per attivare questa intestazione, selezionare la casella di controllo Content-Security-Policy-Report-Only, quindi inserire le direttive della policy.
Per consentire l'esecuzione degli elementi <script> solo se contengono un attributo nonce che corrisponde al valore dell'intestazione generato casualmente, selezionare Attiva nonce.
Per saperne di più sull'intestazione Content-Security-Policy-Report-Only.
Attivare l'intestazione Referrer-Policy per controllare la quantità di informazioni sul referente da includere nelle richieste.
Per attivare questa intestazione, selezionare la casella di controllo Referrer-Policy, quindi selezionare una direttiva dal menu a discesa.
Attivare l'intestazione Permissions-Policy per controllare l'uso delle funzionalità del browser nella pagina, compreso il contenuto dell'elemento <iframe>.
Per attivare questa intestazione, selezionare la casella di controllo Permissions-Policy, quindi inserire le direttive. Per un elenco delle direttive, consultare la guida di Mozilla Permissions-Policy.