SSL- og domenesikkerhet i HubSpot

HubSpot klargjør automatisk et standard SAN SSL-sertifikat gjennom Googles klareringstjenester når du kobler et domene til kontoen din. Standard SSL-klargjøring tar vanligvis noen minutter, men kan ta opptil fire timer.

Hvis du har kjøpt det egendefinerte SSL-tillegget, kan du laste opp egendefinerte SSL-sertifikater til HubSpot. Du kan også konfigurere sikkerhetsinnstillinger for hvert tilkoblet domene, for eksempel TLS-versjon og sikkerhetsoverskrifter.

Merk: Hvis du støter på feil under SSL-klargjøringsprosessen, kan du finne ut mer om feilsøking av SSL-sertifikatfeil.

Klargjør SSL-sertifikatet ditt på forhånd

Hvis du flytter det eksisterende nettstedet til HubSpot, kan det være lurt å forhåndsgodkjenne et SSL-sertifikat, slik at det ikke oppstår nedetid for SSL. Du kan forhåndsgodkjenne et SSL-sertifikat mens du kobler et domene til HubSpot.

Slik klargjør du et SSL-sertifikat på forhånd:

• På siden DNS-oppsett i domenetilkoblingsprosessen vises et banner hvis nettstedet ditt har et eksisterende SSL-sertifikat. Klikk Klikk her for å starte klargjøringsprosessen.
  
  
  
  
  
  
• Følg instruksjonene i dialogboksen:
  • Logg på DNS-leverandørkontoen din, for eksempel GoDaddy eller Namecheap.
  • I DNS-leverandøren går du til skjermbildet for DNS-innstillinger der du administrerer DNS-postene.
  • Opprett nye DNS-poster i henhold til dialogboksen ved hjelp av verdiene Vert (navn) og Verdi som er angitt i dialogboksen.

Merk: Hvis du bruker nettverksløsninger, Namecheap eller GoDaddy, trenger du ikke å kopiere rotdomenet. Leverandøren legger automatisk til et rotdomene på slutten av DNS-posten.

• Klikk på Verifiser. Det kan ta opptil fire timer før endringene behandles. Hvis du får en feilmelding når du klikker på Bekreft, må du vente noen minutter og deretter klikke på Bekreft for å sjekke igjen.

Når sertifikatet er klargjort på forhånd, vises et bekreftelsesbanner på skjermbildet for domenetilkobling. Deretter kan du fortsette å koble til domenet.

Konfigurer en domenekontrollvalidering (DCV) -post

Hvis du ser en feil i domeneinnstillingene som sier at «Reverse proxy-domener trenger din handling for å unngå forstyrrelser på nettstedet», anbefales det å legge til en domenekontrollvalidering (DCV) for å holde SSL-sertifikatet oppdatert. 

Du kan legge til en DCV-post med disse trinnene: 

• I HubSpot-kontoen din klikker du på settings innstillinger-ikonet i den øverste navigasjonslinjen.
• Gå til Innhold > Domener og nettadresser i menyen til venstre i sidepanelet.
• For hvert domene med en etikett som krever handling, klikker du på rullegardinmenyen Rediger og velger Vis DNS-poster.

• I et eget vindu logger du på DNS-leverandøren og får tilgang til DNS-postene. Hvis du vil ha detaljerte instruksjoner om redigering av DNS-poster for de vanligste DNS-leverandørene, kan du se DNS-oppsettveiledningen. 
• Kopier verdiene for DCV-posten i dialogboksen i HubSpot, og lim dem deretter inn i en ny post i DNS-leverandørkontoen. Når du legger til en ny DCV-post i DNS-kontoen, kan det ta opptil 24 timer før DNS-endringene er fullført.

Sikkerhetsinnstillinger for domener

Du kan tilpasse sikkerhetsinnstillingene for hvert underdomene som er koblet til HubSpot. Sikkerhetsinnstillingene omfatter nettstedsprotokollen (HTTP vs. HTTPS), TLS-versjonen og nettstedets sikkerhetsoverskrifter.

Slik oppdaterer du sikkerhetsinnstillingene for et domene:

• I HubSpot-kontoen din klikker du på settings innstillinger-ikonet i den øverste navigasjonslinjen.
• Gå til Innhold > Domener og nettadresser i menyen til venstre i sidepanelet.
• Klikk på Handlinger-menyen ved siden av domenet , og velg Oppdater sikkerhetsinnstillinger for domenet.

Https-protokoll

Du kan kreve at alle sidene på nettstedet lastes inn på en sikker måte via https. Når denne innstillingen er slått på, lastes ikke innhold som er lastet inn over http, for eksempel bilder og stilark, inn på nettstedet ditt. Innhold som lastes inn over http på et HTTPS-nettsted, kalles blandet innhold. Finn ut hvordan du løser feil med blandet innhold på siden din.

Hvis du vil slå på HTTPS-protokollen, merker du av for Krev https .

TLS-versjon

Som standard godtar HubSpot-servere en tilkobling som bruker TLS 1.0 og nyere.

Hvis du vil endre hvilke TLS-versjoner som støttes, klikker du på rullegardinmenyen TLS-versjon og velger den laveste TLS-versjonen du vil støtte. Tilkoblinger som forsøker å bruke en TLS-versjon som er lavere enn minimumsinnstillingen, vil mislykkes.

Sikkerhetsoverskrifter

Du kan konfigurere domenesikkerheten og slå på sikkerhetsoverskrifter for hvert domene.

Http Streng transportsikkerhet (HSTS)

Du kan legge til et ekstra sikkerhetslag på nettstedet ved å aktivere http Strict Transport Security (HSTS). HSTS instruerer nettlesere om å konvertere alle HTTP-forespørsler til HTTPS-forespørsler i stedet. Aktivering av HSTS legger til HSTS-overskriften i svarene for forespørsler til nettadressene på underdomenet.

• Hvis du vil slå på HSTS, klikker du på fanen Sikkerhetsoverskrifter, og deretter merker du av for http Strict Transport Security (HSTS).

• Hvis du vil angi hvor lenge nettlesere skal huske å konvertere HTTP- til HTTPS-forespørsler, klikker du på rullegardinmenyen Varighet (maks alder) og velger en varighet.
• Hvis du vil inkludere forhåndsinnlastingsdirektivet i domenets HSTS-overskrift, merker du av for Aktiver forhåndsinnlasting. Finn ut mer om forhåndsinstallering av HSTS.
• Hvis du vil inkludere HSTS-overskriften i alle underdomener under det valgte underdomenet, merker du av for Inkluder underdomener. Hvis HSTS for eksempel er slått på for www.examplewebsite.com og avmerkingsboksen Inkluder underdomener er valgt, vil cool.www.examplewebsite.com også ha HSTS slått på.

Finn ut mer om HSTS-overskriften.

Ytterligere sikkerhetsinnstillinger for domener (bare Content Hub)

Hvis du har en Content Hub Starter-, Professional- eller Enterprise-konto, kan du slå på de ekstra sikkerhetsinnstillingene nedenfor.

X-Frame-alternativer

Slå på X-Frame-Options-svarhodet for å angi om en nettleser kan gjengi en side i <frame>, <iframe>, <embed> eller <object> HTML-koder.

For å slå på X-Frame-Options, merker du av for X-Frame-Options og velger deretter et direktiv fra rullegardinmenyen:

• Hvis du vil hindre at sider på domenet lastes inn på en hvilken som helst side i taggene ovenfor, velger du avvis.
• Velg sammeopprinnelse for å tillate at sidene på domenet lastes inn i kodene ovenfor bare på tvers av domenet.
  
  
  
  
  
  

Finn ut mer om X-Frame-Options-overskriften.

X-XSS-beskyttelse

Slå på X-XSS-Protection-toppteksten for å legge til et sikkerhetslag for brukere av eldre nettlesere ved å hindre at sider lastes inn når skripting på tvers av nettsteder oppdages.

For å slå på denne overskriften, merker du av for X-XSS-beskyttelse og velger deretter en XSS-innstilling fra rullegardinmenyen:

• Velg 0 for å deaktivere XSS-filtrering.
• Hvis du vil fjerne de usikre delene av en side når et skriptangrep på tvers av nettsteder oppdages, velger du 1.
• Hvis du vil hindre gjengivelse av en side hvis et angrep oppdages, velger du 1; modus=blokk.
  
  
  
  
  
  

Finn ut mer om X-XSS-Protection-toppteksten.

X-innholdstype-alternativer

Slå på X-Content-Type-Options-toppteksten for å velge bort sider fra MIME-typesniffing. Hvis du aktiverer denne innstillingen, blir nettleseren bedt om å følge MIME-typene som annonseres i innholdstypeoverskriftene.

Finn ut mer om X-Content-Type-Options-overskriften.

Retningslinjer for innholdssikkerhet

Slå på toppteksten Content-Security-Policy for å kontrollere ressurser som brukeragenten kan laste inn på en side. Denne overskriften bidrar til å forhindre skriptangrep på tvers av nettsteder.

Hvis du vil slå på overskriften Innholdssikkerhetspolicy, merker du av for Innholdssikkerhetspolicy, og deretter angir du retningslinjedirektivene. Hvis du vil ha en liste over tilgjengelige direktiver, kan du se Mozillas topptekstveiledning for innholdssikkerhet.

Hvis du vil bruke overskriften Content-Security-Policy med nettversjonene av markedsførings-e-poster, legger du til søkeordet «unsafe-inline», som beskrevet her. Ellers vil styling fra eposten bli blokkert. 

Hvis du vil tillate at <script> -elementer bare kjøres hvis de inneholder et nonce-attributt som samsvarer med den tilfeldig genererte topptekstverdien, velger du Aktiver nonce.

Merk: HubSpot genererer automatisk en tilfeldig verdi på hver forespørsel for alle skript fra HubSpot og alle skript som er lagret på HubSpot.

Følgende domener og direktiver bør inkluderes for å sikre full funksjonalitet på HubSpot-hostede sider:

Bare innhold-sikkerhet-policy-rapportering

Slå på overskriften Content-Security-Policy-Report-Only for å overvåke retningslinjedirektiver. Retningslinjedirektiver vil ikke bli håndhevet, men effektene vil bli overvåket, noe som kan være nyttig når du eksperimenterer med retningslinjer.

Hvis du vil slå på denne overskriften, merker du av for Bare innhold-sikkerhet-policy-rapport, og deretter angir du retningslinjedirektiver.

Hvis du vil tillate at <script> -elementer bare kjøres hvis de inneholder et nonce-attributt som samsvarer med den tilfeldig genererte topptekstverdien, velger du Slå på nonce.

Finn ut mer om toppteksten Content-Security-Policy-Report-Only.

Henvisningsretningslinjer

Slå på overskriften Henvisningspolicy for å kontrollere hvor mye henvisningsinformasjon som skal inkluderes i forespørsler.

For å slå på denne overskriften, merker du av for Henvisnings-policy, og deretter velger du et direktiv fra rullegardinmenyen.

Retningslinjer for tillatelser

Slå på toppteksten Tillatelser-policy for å kontrollere bruken av nettleserfunksjoner på siden, inkludert <iframe> -elementinnhold.

Hvis du vil slå på denne overskriften, merker du av for Tillatelser-policy og skriver deretter inn direktiver. Du finner en liste over direktiver i Mozillas retningslinjer for tillatelser.