HubSpot maakt automatisch een standaard SAN SSL-certificaat aan via Google Trust Services wanneer je een domein aan je account koppelt. Dit duurt meestal een paar minuten, maar kan tot vier uur duren.
Als je de aangepaste SSL-add-on hebt gekocht, kun je aangepaste SSL-certificaten uploaden naar HubSpot. Je kunt ook beveiligingsinstellingen configureren voor elk verbonden domein, zoals TLS-versie en beveiligingsheaders.
Let op: als u fouten tegenkomt tijdens het SSL-provisioneringsproces, lees dan meer over het oplossen van fouten in SSL-certificaten.
Als je je bestaande site naar HubSpot verhuist, wil je misschien vooraf een SSL-certificaat instellen zodat er geen SSL-downtime is. Je kunt een SSL-certificaat vooraf instellen terwijl je een domein verbindt met HubSpot.
Een SSL-certificaat vooraf instellen:
Let op: als u Network Solutions, Namecheap of GoDaddy gebruikt, hoeft u het hoofddomein niet te kopiëren. Uw provider voegt automatisch een hoofddomein toe aan het einde van het DNS-record.
Zodra je certificaat is voorgeprogrammeerd, verschijnt er een bevestigingsbanner in het scherm voor domeinverbindingen. Je kunt dan doorgaan met het verbinden van je domein.
Als u een fout ziet in uw domeininstellingen waarin staat dat "Reverse proxy domains need your action to avoid website disruption," is het aan te raden om een Domain Control Validation (DCV) record toe te voegen om uw SSL-certificaat up-to-date te houden.
Je kunt de beveiligingsinstellingen aanpassen voor elk subdomein dat is verbonden met HubSpot. Beveiligingsinstellingen zijn onder andere je websiteprotocol (HTTP vs. HTTPS), TLS-versie en de beveiligingsheaders van je website.
De beveiligingsinstellingen van een domein bijwerken:
Je kunt eisen dat alle pagina's op je site veilig via HTTPS worden geladen. Zodra deze instelling is ingeschakeld, wordt inhoud die via HTTP is geladen, zoals afbeeldingen en stylesheets, niet geladen op je site. Inhoud die via HTTP wordt geladen op een HTTPS-site wordt gemengde inhoud genoemd. Leer hoe u fouten met gemengde inhoud op uw pagina kunt oplossen.
Schakel hetselectievakje HTTPS vereisen in om het HTTPS-protocol in te schakelen.
Standaard accepteren HubSpot servers een verbinding met TLS 1.0 en hoger.
Om te wijzigen welke TLS-versies worden ondersteund, klikt u op het vervolgkeuzemenu TLS-versie en selecteert u de laagste TLS-versie die u wilt ondersteunen. Verbindingen die proberen een TLS-versie te gebruiken die lager is dan het ingestelde minimum, zullen mislukken.
U kunt uw domeinbeveiliging configureren en beveiligingsheaders voor elk domein inschakelen.
Je kunt een extra beveiligingslaag toevoegen aan je website door HTTP Strict Transport Security (HSTS) in te schakelen. HSTS instrueert browsers om alle HTTP-verzoeken om te zetten naar HTTPS-verzoeken. Het inschakelen van HSTS voegt de HSTS header toe aan antwoorden voor verzoeken naar de URL's op het subdomein.
Meer informatie over de HSTS-header.
Als je een Content Hub Starter-, Professional- of Enterprise-account hebt, kun je de extra beveiligingsinstellingen hieronder inschakelen.
Schakel de antwoordkop X-Frame-Options in om aan te geven of een browser een pagina kan weergeven in <frame>, <iframe>, <embed> of <object> HTML-tags.
Om X-Frame-Options in te schakelen, schakelt u het selectievakje X-Frame-Options in en selecteert u vervolgens een richtlijn in het vervolgkeuzemenu:
Meer informatie over de X-Frame-Options header.
Schakel de X-XSS-Protection header in om een beveiligingslaag toe te voegen voor gebruikers van oudere webbrowsers door te voorkomen dat pagina's worden geladen wanneer cross-site scripting wordt gedetecteerd.
Om deze header in te schakelen, schakelt u het selectievakje X-XSS-bescherming in en selecteert u vervolgens een XSS-instelling in het vervolgkeuzemenu:
Meer informatie over de X-XSS-Protection-header.
Schakel de X-Content-Type-Options header in om pagina's uit te sluiten van MIME type sniffing. Het inschakelen van deze instelling vertelt de browser om de MIME-typen te volgen die worden geadverteerd in de Content-Type headers.
Meer informatie over de kop X-Content-Type-Options.
Schakel de header Content-Security-Policy in om de bronnen te controleren die de gebruikersagent op een pagina kan laden. Deze header helpt cross-site scripting aanvallen te voorkomen.
Om de header Content-Security-Policy in te schakelen, schakelt u het selectievakje Content-Security-Policy in en geeft u vervolgens uw beleidsrichtlijnen op. Kijk voor een lijst met beschikbare richtlijnen in Mozilla's Content-Security-Policy header gids.
Om de Content-Security-Policy header te gebruiken met de webversies van marketinge-mails, voeg je het sleutelwoord 'unsafe-inline' toe, zoals hier beschreven. Anders wordt de styling van de e-mail geblokkeerd.
Als je wilt toestaan dat <script>-elementen alleen worden uitgevoerd als ze een nonce-attribuut bevatten dat overeenkomt met de willekeurig gegenereerde headerwaarde, selecteer je Nonce inschakelen.
Let op: HubSpot genereert automatisch een willekeurige waarde bij elke aanvraag voor alle scripts van HubSpot en alle scripts die worden gehost op HubSpot.
De volgende domeinen en directives moeten worden opgenomen om volledige functionaliteit op HubSpot-gehoste pagina's te garanderen:
| Domein* | Richtlijn(en) | Gereedschap |
| *.hsadspixel.net | script-src | Advertentie |
| *.hs-analytics.net | script-src | Analytics |
| *.hubapi.com | verbinden-src | API-oproepen (HubDB, formulierinzendingen) |
| js.hscta.net | script-src, img-src, verbinden-src | Oproepen tot actie (knop) |
| js-eu1.hscta.net (alleen Europese datahosting) | script-src, img-src, verbinden-src | Oproepen tot actie (knop) |
| no-cache.hubspot.com | afbeeldingsbron | Oproepen tot actie (knop) |
| *.hubspot.com | script-src, img-src, verbinden-src, frame-src | Calls-to-action (pop-ups), chatflows |
| *.hs-sites.com | frame-src | Oproepen tot actie (pop-up) |
| *.hs-sites-eu1.com (alleen Europese datahosting) | frame-src | Oproepen tot actie (pop-up) |
| statisch.hsappstatic.net | script-src | Inhoud (sprocketmenu, video insluiten) |
| *.usemessages.com | script-src | Gesprekken, chatflows |
| *.hs-banner.com | script-src, verbinden-src | Cookiebanner |
| *.hubspotusercontent##.net (## kan 00, 10, 20, 30 of 40 zijn) | script-src, img-src, stijl-src | Bestanden |
| *.hubspot.net | script-src, img-src, frame-src | Bestanden |
| play.hubspotvideo.com | frame-src | Bestanden (video's) |
| play-eu1.hubspotvideo.com (alleen Europese datahosting) | frame-src | Bestanden (video's) |
| cdn2.hubspot.net | afbeelding-src, stijl-src | Bestanden, stylesheets |
| Je domein verbonden met HubSpot | frame-src, stijl-src, script-src | Bestanden, stylesheets |
| *.hscollectedforms.net | script-src, verbinden-src | Formulieren (niet-HubSpot formulieren) |
| *.hsleadflows.net | script-src | Formulieren (pop-up formulieren) |
| *.hsforms.net | script-src, img-src, frame-src | Formulieren, enquêtes |
| *.hsforms.com | script-src, img-src, frame-src, connect-src, child-src | Formulieren, enquêtes |
| *.hs-scripts.com | script-src | HubSpot volgcode |
| *.hubspotfeedback.com | script-src | Enquêtes |
| feedback.hubapi.com | script-src | Enquêtes |
| feedback-eu1.hubapi.com (alleen Europese datahosting) | script-src | Enquêtes |
Schakel de Content-Security-Policy-Report-Only header in om beleidsrichtlijnen te monitoren. Beleidsrichtlijnen worden niet afgedwongen, maar de effecten worden gemonitord, wat handig kan zijn bij het experimenteren met beleidsregels.
Om deze header in te schakelen, schakelt u het selectievakje Content-Security-Policy-Report-Only in en voert u vervolgens uw beleidsrichtlijnen in.
Om <script>-elementen alleen te laten uitvoeren als ze een nonce-attribuut bevatten dat overeenkomt met de willekeurig gegenereerde headerwaarde, selecteert u Schakel nonce in.
Meer informatie over de Content-Security-Policy-Report-Only header.
Schakel de Referrer-Policy header in om te bepalen hoeveel referrer-informatie moet worden meegestuurd met verzoeken.
Om deze kop in te schakelen, schakel je het selectievakje Referrer-policy in en selecteer je een richtlijn in het vervolgkeuzemenu.
Schakel de koptekst Permissions-Policy in om het gebruik van browserfuncties op de pagina te regelen, inclusief de inhoud van <iframe>-elementen.
Om deze header in te schakelen, schakelt u het selectievakje Permissions-Policy in en voert u vervolgens uw richtlijnen in. Voor een lijst met richtlijnen, zie Mozilla's Permissions-Policy gids.