SSL i bezpieczeństwo domen w HubSpot

Gdy podłączasz domenę do swojego konta, HubSpot automatycznie przydziela standardowy certyfikat SSL typu SAN za pośrednictwem usługi Google Trust Services. Przydzielenie standardowego certyfikatu SSL trwa zazwyczaj kilka minut, ale może zająć nawet cztery godziny,

Wstępne przydzielenie certyfikatu SSL

Jeśli przenosisz istniejącą witrynę do HubSpot, warto wstępnie skonfigurować certyfikat SSL, aby uniknąć przestoju związanego z SSL. Certyfikat SSL można wstępnie skonfigurować podczas podłączania domeny do HubSpot.

1. Podczas procesu podłączania domeny pojawi się baner, jeśli Twoja witryna posiada już certyfikat SSL. Kliknij opcję „pre-provisioning” i postępuj zgodnie z instrukcjami wyświetlonymi w oknie dialogowym, aby rozpocząć proces konfiguracji.

2. W osobnym oknie lub karcie przeglądarki zaloguj się na stronie dostawcy domeny (np. GoDaddy lub Namecheap).
3. Na stronie dostawcy domeny przejdź do ustawień DNS, gdzie zarządzasz rekordami DNS.
4. Utwórz nowe rekordy DNS zgodnie z informacjami zawartymi w oknie dialogowym „Wstępna konfiguracja certyfikatu SSL” w HubSpot. Skopiuj wartości pól„Host” i „Wymagane dane ”.
5. Po zakończeniu kliknij przycisk „Zweryfikuj”w oknie dialogowym „Wstępna konfiguracja certyfikatu SSL ”. Przetworzenie zmian może potrwać do czterech godzin. Jeśli po kliknięciu przycisku „Zweryfikuj” pojawi się błąd, odczekaj kilka minut, a następnie kliknij przycisk „Zweryfikuj”, aby spróbować ponownie.

Uwaga: jeśli korzystasz z usług Network Solutions, Namecheap lub GoDaddy, nie musisz kopiować domeny głównej. Twój dostawca automatycznie doda domenę główną na końcu rekordu DNS.

6. Po pomyślnym wstępnym skonfigurowaniu certyfikatu na ekranie połączenia domeny pojawi się baner potwierdzający. Następnie możesz kontynuować łączenie domeny.

Skonfiguruj rekord weryfikacji kontroli domeny (DCV)

Jeśli w ustawieniach domeny pojawi się komunikat o błędzie o treści: „Domeny z odwrotnym proxy wymagają podjęcia działań w celu uniknięcia zakłóceń w działaniu witryny”, zaleca się dodanie rekordu weryfikacji kontroli domeny (DCV), aby certyfikat SSL był aktualny.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji „Treść ” > „Domeny i adresy URL”.
3. Dla każdej domeny zetykietą „Wymagane działanie” kliknij menurozwijane „Działania ” i wybierz opcję„Pokaż rekordy DNS”.
4. W osobnym oknie lub karcie przeglądarki zaloguj się do serwisu dostawcy domeny i uzyskaj dostęp do swoich rekordów DNS. Dowiedz się więcej o konfiguracji DNS dla najpopularniejszych dostawców.
5. Na stronie dostawcy domeny przejdź do ustawień DNS, w których zarządzasz rekordami DNS.
6. Utwórz nowe wpisy DNS zgodnie z instrukcjami wyświetlonymi w oknie dialogowym w HubSpot. Skopiuj wartości wpisów DCV i wklej je do nowego wpisu w ustawieniach DNS na stronie dostawcy domeny.
7. Po dodaniu nowego rekordu DCV do konta DNS aktualizacja zmian w systemie DNS może potrwać do 24 godzin.

Zaktualizuj ustawienia bezpieczeństwa domeny

Zaktualizuj ustawienia zabezpieczeń dla każdej subdomeny połączonej z HubSpot. Ustawienia zabezpieczeń obejmują protokół witryny (HTTP lub HTTPS), wersję TLS oraz nagłówki zabezpieczeń witryny.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji Treści > Domeny i adresy URL.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.

Protokół HTTPS

Wymagaj, aby wszystkie strony w witrynie były ładowane bezpiecznie przez protokół HTTPS. Po włączeniu tego ustawienia treści ładowane przez protokół HTTP, takie jak obrazy i arkusze stylów, nie będąwyświetlane w witrynie. Treści ładowane przez protokół HTTP w witrynie korzystającej z protokołu HTTPS nazywane są treściami mieszanymi. Dowiedz się, jak rozwiązać problemy związane z treściami mieszanymi na stronie.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji Treść > Domeny i adresy URL.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia bezpieczeństwa domeny”.
4. W prawym panelu zaznacz pole wyboru Wymagaj HTTPS, aby wszystkie strony w domenie były ładowane bezpiecznie przez protokół HTTPS zamiast HTTP.
5. Po zakończeniu kliknij „Zapisz”.

Wersja TLS

Domyślnie serwery HubSpot akceptują połączenia przy użyciu protokołu TLS 1.2 i nowszych. Połączenia próbujące użyć wersji TLS niższej niż ustalony minimum zakończą się niepowodzeniem.

Uwaga: niektóre skanowania bezpieczeństwa mogą wykazywać starsze wersje TLS (np. TLS 1.0) na adresach IP Cloudflare używanych do dostarczania treści hostowanych przez HubSpot. Nie ma to wpływu na bezpieczeństwo Twojej witryny. Twoja witryna jest obsługiwana przy użyciu wersji TLS skonfigurowanej dla Twojej domeny, np. TLS 1.2.

Nagłówki bezpieczeństwa

Skonfiguruj zabezpieczenia domeny i włącz nagłówki bezpieczeństwa dla każdej domeny.

HTTP Strict Transport Security (HSTS)

Dodaj dodatkową warstwę zabezpieczeń do swojej witryny, włączając protokół HTTP Strict Transport Security (HSTS). HSTS nakazuje przeglądarkom przekształcanie wszystkich żądań HTTP na żądania HTTPS. Włączenie HSTS powoduje dodanie nagłówka HSTS do odpowiedzi na żądania kierowane do adresów URL w subdomenie. Dowiedz się więcej o nagłówku HSTS.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji Treść > Domeny i adresy URL.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.
4. W prawym panelu bocznym kliknij kartę Nagłówki bezpieczeństwa.
5. Aby włączyć HSTS, zaznacz pole wyboru „HTTP Strict Transport Security (HSTS) ”. 
   • Aby edytować czas, przez jaki przeglądarki powinny pamiętać o konwersji żądań HTTP na HTTPS, kliknij menu rozwijane Czas trwania (max-age) i wybierz czas trwania.
   • Aby uwzględnić dyrektywę preload w nagłówku HSTS domeny, zaznacz pole wyboru Włącz preload. Dowiedz się więcej o wstępnym ładowaniu HSTS.
   • Aby dołączyć nagłówek HSTS do wszystkich subdomen w ramach wybranej domeny, zaznacz pole wyboru „Uwzględnij subdomeny ”. Na przykład, jeśli HSTS jest włączone dla domeny www.examplewebsite.com, a pole wyboru „Uwzględnij subdomeny ” jest zaznaczone, to w domenie cool.www.examplewebsite.com również będzie włączone HSTS .
6. Po zakończeniu kliknij „Zapisz”.

Dodatkowe ustawienia zabezpieczeń domeny

Skonfiguruj dodatkowe nagłówki zabezpieczeń domeny, aby kontrolować sposób, w jaki przeglądarki ładują treści, obsługują żądania i egzekwują zabezpieczenia w Twojej domenie. Te ustawienia pomagają zapobiegać typowym lukom w zabezpieczeniach, takim jak skrypty międzywitrynowe (XSS) i nieautoryzowane osadzanie treści.

X-Frame-Options

Włącz nagłówek odpowiedzi X-Frame-Options, aby określić, czy przeglądarka może wyświetlać stronę w tagach HTML <frame>, <iframe>, <embed> lub <object>. Dowiedz się więcej o nagłówku X-Frame-Options.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji Treści > Domeny i adresy URL.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.
4. W prawym panelu bocznym kliknij kartę Nagłówki zabezpieczeń.
5. Aby włączyć opcję X-Frame-Options, zaznacz pole wyboru X-Frame-Options, a następnie kliknij menu rozwijaneDyrektywa, aby wybrać opcję:
   • Aby uniemożliwić ładowanie stron z Twojej domeny na dowolnej stronie zawierającej powyższe tagi, wybierz opcję „deny”.
   • Aby zezwolić na ładowanie stron z Twojej domeny w powyższych tagach wyłącznie w obrębie tej domeny, wybierz op cję „sameorigin”.
6. Po zakończeniu kliknij „Zapisz”.

X-XSS-Protection

Włącz nagłówek X-XSS-Protection, aby zapewnić dodatkową warstwę zabezpieczeń dla użytkowników starszych przeglądarek internetowych. Włączenie X-XSS-Protection zapobiega ładowaniu stron w przypadku wykrycia ataku typu cross-site scripting. Dowiedz się więcej o nagłówku X-XSS-Protection.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji „Treść ” > „Domeny i adresy URL”.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.
4. W prawym panelu bocznym kliknij kartę Nagłówki zabezpieczeń.
5. Aby włączyć nagłówek X-XSS-Protection, zaznacz pole wyboru X-XSS-Protection, a następnie kliknij menu rozwijaneUstawienia XSS i wybierz jedną z opcji:
   • Aby wyłączyć filtrowanie XSS, wybierz 0.
   • Aby usunąć niebezpieczne fragmenty strony w przypadku wykrycia ataku typu cross-site scripting, wybierz 1.
   • Aby zapobiec wyświetleniu strony w przypadku wykrycia ataku, wybierz 1; mode=block.
6. Po zakończeniu kliknij „Zapisz”.

X-Content-Type-Options

Włącz nagłówek X-Content-Type-Options, aby wyłączyć dla stron wykrywanie typów MIME. Włączenie tego ustawienia nakazuje przeglądarce stosowanie się do typów MIME podanych w nagłówkach Content-Type. Dowiedz się więcej o nagłówku X-Content-Type-Options.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji Treść > Domeny i adresy URL.
3. Kliknij menurozwijane Działania i wybierz opcję Zaktualizuj ustawienia zabezpieczeń domeny.
4. W prawym panelu bocznym kliknij kartę „Nagłówki zabezpieczeń ”.
5. Aby wyłączyć wykrywanie typu MIME dla stron, zaznacz pole wyboru X-Content-Type-Options.
6. Po zakończeniu kliknij „Zapisz”.

Content-Security-Policy

Włącz nagłówek Content-Security-Policy, aby kontrolować zasoby, które agent użytkownika może ładować na stronie. Ten nagłówek pomaga zapobiegać atakom typu cross-site scripting.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu na lewym pasku bocznym przejdź do sekcji „Treść ” > „Domeny i adresy URL”.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.
4. W prawym panelu bocznym kliknij kartę Nagłówki bezpieczeństwa.
5. Aby kontrolować zasoby, które może ładować agent użytkownika, zaznacz pole wyboru „Content-Security-Policy ”:
   • W polu „Dyrektywy polityki” wprowadź dyrektywy .
     • Aby zapewnić pełną funkcjonalność stron hostowanych przez HubSpot, należy uwzględnić domeny i dyrektywy wymienione w poniższej tabeli.
     • Aby zapoznać się z listą innych dostępnych dyrektyw, przeczytajprzewodnik Mozilli dotyczącynagłówka Content-Security-Policy.
   • Aby użyć nagłówka Content-Security-Policy w internetowych wersjach e-maili marketingowych, wprowadź „unsafe-inline” jako słowo kluczowe opisane tutaj. W przeciwnym razie stylizacja z wiadomości e-mail zostanie zablokowana.
   • Aby zezwolić na wykonywanie elementów <script> tylko wtedy, gdy zawierają one atrybut „nonce” pasujący do losowo wygenerowanej wartości nagłówka, zaznaczpole wyboru„Włącz nonce”.
6. Po zakończeniu kliknij „Zapisz”.

Uwaga: HubSpot automatycznie generuje losową wartość przy każdym żądaniu dotyczącym wszystkich skryptów z HubSpot oraz wszystkich skryptów hostowanych na HubSpot.

Aby zapewnić pełną funkcjonalność stron hostowanych przez HubSpot, należy uwzględnić następujące domeny i dyrektywy:

Content-Security-Policy-Report-Only

Włącz nagłówek Content-Security-Policy-Report-Only, aby monitorować dyrektywy polityki. Dyrektywy polityki nie będą egzekwowane, ale ich działanie będzie monitorowane, co może być przydatne podczas eksperymentowania z politykami. Dowiedz się więcej o nagłówku Content-Security-Policy-Report-Only.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu po lewej stronie przejdź do sekcji Treść > Domeny i adresy URL.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.
4. W prawym panelu bocznym kliknij kartę Nagłówki bezpieczeństwa.
5. Aby włączyć ten nagłówek, zaznacz pole wyboru „Content-Security-Policy-Report-Only”, a następnie wprowadź dyrektywy polityki.
6. Aby zezwolić na wykonywanie elementów <script> tylko wtedy, gdy zawierają one atrybut nonce pasujący do losowo wygenerowanej wartości nagłówka, zaznacz pole wyboruWłącz nonce.
7. Po zakończeniu kliknij „Zapisz”.

Referrer-Policy

Włącz nagłówek Referrer-Policy, aby kontrolować, ile informacji o stronie odsyłającej powinno być dołączanych do żądań. Definicje dostępnych dyrektyw znajdziesz w przewodniku Mozilli dotyczącym Referrer-Policy.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu na lewym pasku bocznym przejdź do sekcji „Treść ” > „Domeny i adresy URL”.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.
4. W prawym panelu bocznym kliknij kartę Nagłówki bezpieczeństwa.
5. Aby określić, ile informacji o stronie odsyłającej ma być zawartych w żądaniach, zaznacz pole wyboru „Referrer-Policy”, a następnie kliknij menu rozwijane„Dyrektywa” i wybierz opcję.
6. Po zakończeniu kliknij „Zapisz”.

Permissions-Policy

Włącz nagłówek „Permissions-Policy”, aby kontrolować korzystanie z funkcji przeglądarki na stronie, w tym zawartość elementu <iframe>.

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu na lewym pasku bocznym przejdź do sekcji „Treść ” > „Domeny i adresy URL”.
3. Kliknij menurozwijane „Działania ” i wybierz opcję „Zaktualizuj ustawienia zabezpieczeń domeny”.
4. W prawym panelu bocznym kliknij kartę Nagłówki bezpieczeństwa.
5. Aby kontrolować korzystanie z funkcji przeglądarki, zaznacz pole wyboru „Permissions-Policy”, a następnie wprowadź swoje dyrektywy. Listę dyrektyw znajdziesz w przewodniku Mozilli dotyczącym Permissions-Policy.
6. Po zakończeniu kliknij „Zapisz”.