SSL og domenesikkerhet i HubSpot

HubSpot oppretter automatisk et standard SAN-SSL-sertifikat via Google Trust Services når du kobler et domene til kontoen din. Opprettelsen av et standard SSL-sertifikat tar vanligvis noen minutter, men kan ta opptil fire timer,

Forhåndsutstede et SSL-sertifikat

Hvis du flytter ditt eksisterende nettsted til HubSpot, kan det være lurt å forhåndsutstede et SSL-sertifikat slik at det ikke oppstår nedetid på grunn av SSL. Du kan forhåndsutstede et SSL-sertifikat mens du kobler et domene til HubSpot.

1. Under tilkoblingsprosessen for et domene vil det vises et banner hvis nettstedet ditt allerede har et SSL-sertifikat. Klikk på «pre-provisioning» og følg instruksjonene i dialogboksen for å starte konfigurasjonsprosessen.

2. Logg inn på nettstedet til domeneleverandøren din (f.eks. GoDaddy eller Namecheap) i et eget nettleservindu eller en egen fane.
3. På nettstedet til domeneleverandøren din navigerer du til DNS-innstillingeneder du administrerer DNS-postene dine.
4. Opprett nye DNS-poster i henhold til dialogboksen «Forhåndskonfigurer SSL-sertifikatet ditt» i HubSpot. Kopier verdiene for«Vert» og «Nødvendige data ».
5. Når du er ferdig, klikker du på «Bekreft»i dialogboksen «Forhåndskonfigurer SSL-sertifikatet ditt ». Det kan ta opptil fire timer før endringene dine blir behandlet. Hvis du får en feilmelding når du klikker på «Bekreft», venter du noen minutter og klikker deretter på «Bekreft» for å sjekke på nytt.

Merk: Hvis du bruker Network Solutions, Namecheap eller GoDaddy, trenger du ikke å kopiere rotdomenet. Leverandøren din vil automatisk legge til et rotdomene på slutten av DNS-oppføringen.

6. Når sertifikatet er forhåndskonfigurert, vises et bekreftelsesbanner på skjermbildet for domenetilkobling. Du kan deretter fortsette med å koble til domenet ditt.

Konfigurer en DCV-post (Domain Control Validation)

Hvis du ser en feilmelding i domeneinnstillingene som sier at «Reverse proxy-domener krever handling fra deg for å unngå forstyrrelser på nettstedet», anbefales det å legge til en DCV-post (Domain Control Validation) for å holde SSL-sertifikatet oppdatert.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. For hvert domene medmerket «Handling kreves» klikker du pårullegardin menyen«Handlinger » og velger«Vis DNS-oppføringer».
4. Logg inn på nettstedet til domeneleverandøren din i et eget nettleservindu eller en egen fane, og gå til DNS-oppføringene dine. Les mer om DNS-konfigurasjon for de vanligste leverandørene.
5. På nettstedet til domeneleverandøren din går du til DNS-innstillingeneder du administrerer DNS-oppføringene dine.
6. Opprett nye DNS-oppføringer i henhold til dialogboksen i HubSpot. Kopier verdiene for DCV-oppføringene og lim dem inn i den nye oppføringen på domeneleverandørens nettsted under DNS-innstillingene.
7. Når du legger til en ny DCV-post i DNS-kontoen din, kan det ta opptil 24 timer før DNS-endringene er fullstendig oppdatert.

Oppdater sikkerhetsinnstillingene for domenet

Oppdater sikkerhetsinnstillingene for hvert underdomene som er koblet til HubSpot. Sikkerhetsinnstillingene inkluderer nettstedets protokoll (HTTP vs. HTTPS), TLS-versjon og sikkerhetsheadere for nettstedet.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardinmenyen Handlinger og velg Oppdater sikkerhetsinnstillinger for domene.

HTTPS-protokoll

Krev at alle sider på nettstedet ditt lastes inn sikkert via HTTPS. Når denne innstillingen er aktivert, vilinnhold som lastes inn via HTTP, for eksempel bilder og stilark, ikkelastes inn på nettstedet ditt. Innhold som lastes inn via HTTP på et HTTPS-nettsted, kalles blandet innhold. Lær hvordan du løser feil med blandet innhold på siden din.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardinmenyen Handlinger og velg Oppdater sikkerhetsinnstillinger for domenet.
4. I panelet til høyre merker du av for Krev HTTPS for å sikre at alle sider på domenet lastes inn sikkert via HTTPS i stedet for HTTP.
5. Når du er ferdig, klikker du på «Lagre».

TLS-versjon

Som standard aksepterer HubSpot-serverne en tilkobling som bruker TLS 1.2 og nyere. Tilkoblinger som prøver å bruke en TLS-versjon som er lavere enn det angitte minimumet, vil mislykkes.

Merk: Noen sikkerhetsskanninger kan vise eldre TLS-versjoner (f.eks. TLS 1.0) på Cloudflare-IP-adresser som brukes til å levere innhold som er hostet av HubSpot. Dette påvirker ikke nettstedets sikkerhet. Nettstedet ditt leveres ved hjelp av den TLS-versjonen som er konfigurert for domenet ditt, for eksempel TLS 1.2.

Sikkerhetsoverskrifter

Konfigurer domenesikkerheten din og aktiver sikkerhetsoverskrifter for hvert domene.

HTTP Strict Transport Security (HSTS)

Legg til et ekstra sikkerhetslag på nettstedet ditt ved å aktivere HTTP Strict Transport Security (HSTS). HSTS instruerer nettlesere om å konvertere alle HTTP-forespørsler til HTTPS-forespørsler i stedet. Når du aktiverer HSTS, legges HSTS-overskriften til i svarene på forespørsler som sendes til URL-ene på underdomenet. Les mer om HSTS-overskriften.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardin menyen«Handlinger » og velg «Oppdater sikkerhetsinnstillinger for domenet».
4. I høyre sidepanel klikker du på fanen Sikkerhetsoverskrifter.
5. For å aktivere HSTS, merk av i boksen for HTTP Strict Transport Security (HSTS). 
   • For å redigere hvor lenge nettlesere skal huske å konvertere HTTP-forespørsler til HTTPS, klikker du på rullegardinmenyen Varighet (max-age) og velger en varighet.
   • For å inkludere preload-direktivet i domenets HSTS-overskrift, merk av i avmerkingsboksen Aktiver preload. Les mer om HSTS-forhåndsinnlasting.
   • For å inkludere HSTS-overskriften i alle underdomener under det valgte domenet, merker du av i avmerkingsboksen «Inkluder underdomener ». Hvis for eksempel HSTS er aktivert for www.examplewebsite.com og avmerkingsboksen «Inkluder underdomener » er merket av, vil cool.www.examplewebsite.com også ha HSTS aktivert .
6. Når du er ferdig, klikker du på «Lagre».

Ytterligere sikkerhetsinnstillinger for domener

Konfigurer ytterligere sikkerhetsoverskrifter for domenet for å kontrollere hvordan nettlesere laster inn innhold, håndterer forespørsler og håndhever beskyttelse på domenet ditt. Disse innstillingene bidrar til å forhindre vanlige sårbarheter, for eksempel cross-site scripting og uautorisert innbygging av innhold.

X-Frame-Options

Slå på X-Frame-Options-svarhodet for å vise om en nettleser kan gjengi en side i HTML-taggene <frame>, <iframe>, <embed> eller <object>. Les mer om X-Frame-Options-hodet.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardinmenyen Handlinger og velg Oppdater sikkerhetsinnstillinger for domene.
4. I panelet til høyre klikker du på fanen Sikkerhetsoverskrifter.
5. For å aktivere X-Frame-Options, merk av i boksen for X-Frame-Options, og klikk deretter på rullegardinmenyen«Direktiv» for å velge et alternativ:
   • For å forhindre at sider på domenet ditt lastes inn på en hvilken som helst side i de ovennevnte taggene, velger du «deny».
   • For å tillate at sider på domenet ditt lastes inn i de ovennevnte taggene kun på ditt eget domene, velger du «sameorigin».
6. Når du er ferdig, klikker du på «Lagre».

X-XSS-Protection

Slå på X-XSS-Protection-overskriften for å legge til et ekstra sikkerhetslag for brukere av eldre nettlesere. Å slå på X-XSS-Protection forhindrer at sider lastes inn når cross-site scripting oppdages. Les mer om X-XSS-Protection-overskriften.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardinmenyen Handlinger og velg Oppdater sikkerhetsinnstillinger for domene.
4. I panelet til høyre klikker du på fanen Sikkerhetsoverskrifter.
5. For å aktivere X-XSS-Protection-overskriften, merk av i boksen for X-XSS-Protection, klikk deretter på rullegardinmenyenfor XSS-innstillinger og velg et alternativ:
   • For å deaktivere XSS-filtrering, velg 0.
   • For å fjerne usikre deler av en side når et cross-site scripting-angrep oppdages, velg 1.
   • For å forhindre visning av en side hvis et angrep oppdages, velg 1; mode=block.
6. Når du er ferdig, klikker du på Lagre.

X-Content-Type-Options

Slå på X-Content-Type-Options-overskriften for å unngå at sider blir utsatt for MIME-type-sniffing. Når du aktiverer denne innstillingen, blir nettleseren bedt om å følge MIME-typene som er angitt i Content-Type-overskriftene. Les mer om X-Content-Type-Options-overskriften.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardinmenyen Handlinger og velg Oppdater sikkerhetsinnstillinger for domene.
4. I panelet til høyre klikker du på fanen Sikkerhetsoverskrifter.
5. For å ekskludere sider fra MIME-type-sniffing, merk av i boksen X-Content-Type-Options.
6. Når du er ferdig, klikker du på Lagre.

Content-Security-Policy

Slå på Content-Security-Policy-overskriften for å kontrollere ressursene som brukeragenten kan laste inn på en side. Denne overskriften bidrar til å forhindre cross-site scripting-angrep.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til «Innhold » > «Domener og URL-er».
3. Klikk pårullegardin menyen«Handlinger » og velg «Oppdater sikkerhetsinnstillinger for domene».
4. I panelet til høyre klikker du på fanen Sikkerhetsoverskrifter.
5. For å kontrollere hvilke ressurser brukeragenten kan laste inn, merker du av for «Content-Security-Policy »:
   • Skriv inn direktiver i feltet Policy-direktiver.
     • For å sikre full funksjonalitet på sider som er hostet av HubSpot, bør domenene og direktivene i tabellen nedenfor inkluderes.
     • For en liste over andre tilgjengelige direktiver, kan du lese mer iMozillas veiledning omContent-Security-Policy-overskriften.
   • For å bruke Content-Security-Policy-overskriften med nettversjonene av markedsførings-e-poster, skriv inn unsafe-inline som et nøkkelord som beskrevet her. Ellers vil formatering fra e-posten bli blokkert.
   • For å tillate at <script> -elementer kun utføres hvis de inneholder et nonce-attributt som samsvarer med den tilfeldig genererte header-verdien, merker duav for«Enable nonce».
6. Når du er ferdig, klikker du på «Lagre».

Merk: HubSpot genererer automatisk en tilfeldig verdi ved hver forespørsel for alle skript fra HubSpot og alle skript som er hostet på HubSpot.

Følgende domener og direktiver bør inkluderes for å sikre full funksjonalitet på sider som er hostet av HubSpot:

Content-Security-Policy-Report-Only

Slå på Content-Security-Policy-Report-Only-overskriften for å overvåke retningslinjedirektiver. Retningslinjedirektiver vil ikke håndheves, men effektene vil overvåkes, noe som kan være nyttig når du eksperimenterer med retningslinjer. Lær mer om Content-Security-Policy-Report-Only-overskriften.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardin menyen«Handlinger » og velg «Oppdater sikkerhetsinnstillinger for domene».
4. I panelet til høyre klikker du på fanen Sikkerhetsoverskrifter.
5. For å aktivere denne overskriften, merk av for «Content-Security-Policy-Report-Only», og skriv deretter inn retningslinjene dine.
6. For å tillate at <script> -elementer kun utføres hvis de inneholder et nonce-attributt som samsvarer med den tilfeldig genererte header-verdien, merker du av for«Aktiver nonce ».
7. Når du er ferdig, klikker du på Lagre.

Referrer-Policy

Slå på Referrer-Policy-overskriften for å kontrollere hvor mye henvisningsinformasjon som skal inkluderes i forespørsler. For en definisjon av de tilgjengelige direktivene, se Mozillas veiledning om Referrer-Policy.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til Innhold > Domener og URL-er.
3. Klikk pårullegardin menyen«Handlinger » og velg «Oppdater sikkerhetsinnstillinger for domene».
4. I panelet til høyre klikker du på fanen Sikkerhetsheadere.
5. For å kontrollere hvor mye henvisningsinformasjon som skal inkluderes i forespørsler, merker du av for «Referrer-Policy», klikker deretter på rullegardinmenyen«Direktiv» og velger et alternativ.
6. Når du er ferdig, klikker du på Lagre.

Permissions-Policy

Slå på Permissions-Policy-overskriften for å kontrollere bruken av nettleserfunksjoner på siden, inkludert innholdet i <iframe> -elementet.

1. I HubSpot-kontoen din klikker du på innstillinger-ikonet i den øverste navigasjonslinjen.
2. I menyen i venstre sidefelt navigerer du til «Innhold » > «Domener og URL-er».
3. Klikk pårullegardin menyen«Handlinger » og velg «Oppdater sikkerhetsinnstillinger for domene».
4. I panelet til høyre klikker du på fanen Sikkerhetsoverskrifter.
5. For å kontrollere bruken av nettleserfunksjoner, merk av for Permissions-Policy og skriv deretter inn direktivene dine. For en liste over direktiver, se Mozillas veiledning om Permissions-Policy.
6. Når du er ferdig, klikker du på Lagre.