Ultima atualização: Junho 17, 2022
A HubSpot provisiona automaticamente um certificado SSL padrão do SAN por meio do DigiCert quando você conecta um domínio à sua conta. Isso geralmente leva alguns minutos, mas pode levar até quatro horas.
Se você adquiriu o complemento SSL personalizado, você pode fazer upload de certificados SSL personalizados para o HubSpot. Você também pode definir as configurações de segurança para cada domínio conectado, como a versão TLS e os cabeçalhos de segurança.
Observação: se encontrar erros durante o processo de provisionamento do SSL, saiba mais sobre a solução de problemas de erros do certificado SSL.
Provisione previamente seu certificado SSL
Se você estiver movendo seu site existente para o HubSpot, você pode querer pré-provisionar um certificado SSL para que não haja tempo de inatividade do SSL. Você pode pré-provisionar um certificado SSL enquanto conecta um domínio ao HubSpot.
Para pré-provisionar um certificado SSL:
- Na página Configuração de DNS do processo de conexão do domínio, um banner aparecerá se seu site tiver um certificado SSL existente. Clique em Clique aqui para começar o processo de provisionamento.
- Siga as instruções na caixa de diálogo:
- Entre na sua conta do provedor de DNS, como GoDaddy ou Namecheap.
- No seu provedor de DNS, acesse a tela de configurações de DNS onde você gerencia seus registros de DNS.
- Crie novos registros de DNS de acordo com a caixa de diálogo usando o Host (nome) e valores de Valor fornecidos na caixa de diálogo.
Observação: se estiver usando Network Solutions, Namecheap ou GoDaddy, não é preciso copiar o domínio raiz. O provedor adicionará um domínio raiz ao final do registro DNS automaticamente.
- Clique em Verificar. Pode levar até quatro horas para o processamento de suas alterações. Se você receber um erro ao clicar em Verificar, aguarde alguns minutos e clique em Verificar para verificar novamente.
Assim que o certificado tiver sido pré-provisionado, um banner de confirmação aparecerá na tela de conexão do domínio. Você pode continuar conectando seu domínio.
Configurações de segurança do domínio
Você pode personalizar as configurações de segurança para cada subdomínio conectado ao HubSpot. As configurações de segurança incluem o protocolo do seu site (HTTP x. HTTPS), a versão do TLS e os cabeçalhos de segurança do seu site.
Para atualizar as configurações de segurança do domínio:
- Na sua conta da HubSpot, clique no ícone de configurações na barra de navegação principal.
- No menu da barra lateral esquerda, acesse Site > Domínios e URLs.
- Clique em Editar ao lado do domínio e selecione Atualizar configurações de segurança do domínio.
Protocolo HTTPS
Você pode exigir que todas as páginas no seu site carreguem com segurança. Uma vez ativado, o conteúdo carregado por HTTP, como imagens e folhas de estilo, não será carregado no seu site. O conteúdo carregado por HTTP em um site HTTPS é chamado de conteúdo misto. Saiba como resolver erros de conteúdo variado em sua página.
Para ativar o protocolo HTTPS, marque a caixa de seleção Exigir HTTPS.
Versão do TLS
Por padrão, os servidores da HubSpot aceitarão uma conexão usando TLS 1.0 e superiores.
Para alterar quais versões do TLS são suportadas, clique no menu suspenso Versão do TLS e selecione a versão do TLS mais baixa que deseja suportar. Ocorrerão erros nas conexões que tentarem usar uma versão do TLS inferior ao mínimo definido.
Cabeçalhos de segurança
Você pode configurar a segurança do seu domínio e ativar os cabeçalhos de segurança para cada domínio.
Segurança Estrita de Transporte HTTP (HSTS)
Você pode adicionar uma camada extra de segurança ao seu site ativando a segurança HTTP Studio Transport (HSTS). A HSTS instrui os navegadores para converter todas as solicitações HTTP para solicitações de HTTPS. A ativação do HSTS adiciona o cabeçalho do HSTS às respostas para solicitações feitas nas URLs do subdomínio.
- Para ativar o HSTS, clique na guia Cabeçalhos de segurança e marque a caixa de seleção HTTP Studio Transport (HSTS).
- Para definir por quanto tempo o navegador deve se lembrar de converter solicitações HTTP para HTTPS, clique no menu suspenso Duração (idade máxima) e selecione uma duração.
- Para incluir a política de pré-carregamento no cabeçalho HSTS do domínio, marque a caixa de seleção Ativar pré-carregamento. Saiba mais sobre o Pré-carregamento de HSTS.
- Para incluir o cabeçalho HSTS em todos os subdomínios sob o subdomínio selecionado, marque a caixa de seleção Incluir subdomínios. Por exemplo, se HSTS estiver ativado para www.examplewebsite.com e a caixa de seleção Incluir subdomínios estiver selecionada, o site www.examplewebsite.com também terá o HSTS ativado.
Saiba mais sobre o cabeçalho HSTS.
Configurações adicionais de segurança de domínio (somente para CMS Hub)
Se você tiver uma conta do CMS Hub, poderá ativar as configurações adicionais de segurança abaixo.
X-Frame-Options
Ative o cabeçalho de resposta X-Frame-Options para indicar se um navegador pode ou não renderizar uma página nas tags HTML <frame>, <iframe>, <embed> ou <object>.
Para ativar X-Frame-Options, marque a caixa de seleção X-Frame-Options e selecione uma Diretiva do menu suspenso:
- Para evitar que as páginas do seu domínio sejam carregadas em qualquer página nas tags acima, selecione rejeitar.
- Para permitir que as páginas carreguem as tags acima apenas no seu domínio, selecione sameorigin.
Saiba mais sobre o cabeçalho X-Frame-Options.
X-XSS-Protection
Ative o cabeçalho X-XSS-Protection para adicionar uma camada de segurança para os usuários de navegadores web mais antigos, a fim de evitar que as páginas carreguem quando o script do site for detectado.
Para ativar esse cabeçalho, marque a caixa de seleção X-XSS-Protection e selecione uma Configuração XSS no menu suspenso:
- Para desativar a filtragem de XSS, selecione 0.
- Para remover as partes inseguras de uma página quando um ataque de scripting entre sites for detectado, selecione 1.
- Para evitar a renderização de uma página se um ataque for detectado, selecione 1; mode=block.
Saiba mais sobre o cabeçalho X-XSS-Protection.
X-Content-Type-Options
Ative o cabeçalho X-Content-Type-Options para remover a detecção do tipo MIME. A ativação dessa configuração informa ao navegador para seguir os tipos MIME anunciados nos cabeçalhos Content-Type.
Saiba mais sobre o cabeçalho X-Content-Type-Options.
Content-Security-Policy
Ative o cabeçalho Content-Security-Policy para controlar os recursos que o agente do usuário pode carregar em uma página. Este cabeçalho ajuda a impedir os ataques de scripting do site.
Para ativar o cabeçalho Content-Security-Policy, marque a caixa de seleção Content-Security-Policy e insira as Diretivas de política. Para uma lista de diretivas disponíveis, confira oguia do cabeçalho Content-Security-Policy do Mozilla.
Para permitir que elementos <script> sejam executados apenas se contiverem um atributo nonce correspondente ao valor de cabeçalho gerado aleatoriamente, selecione Ativar nonce.
Os seguintes domínios devem ser incluídos para garantir a funcionalidade completa nas páginas hospedadas pela HubSpot:
-
cdn2.hubspot.net
-
*.hubspot.com
-
*.hubspotusercontentxx.net (onde xx pode ser 00, 10, 20, 30, 40)
-
js.hscollectedforms.net
-
js.hsleadflows.net
-
js.hs-scripts.com
-
js.hsadspixel.net
-
js.hs-analytics.net
-
js.hs-banner.com
-
js.hs-banner.net
-
*.hsforms.net
-
*.hsforms.com
-
static.hsappstatic.net
-
js.hubspotfeedback.com
-
feedback.hubapi.com
-
js.usemessages.com
-
*.vidyard.com
Content-Security-Policy-Report-Only
Ative o cabeçalho Content-Security-Policy-Report-Only para monitorar diretivas de política. As diretivas de política não serão aplicadas, mas os efeitos serão monitorados, o que pode ser útil ao experimentar políticas.
Para ativar esse cabeçalho, marque a caixa de seleção Content-Security-Policy-Report-Only e insira as Diretivas de política.
Para permitir que elementos <script> sejam executados apenas se contiverem um atributo nonce correspondente ao valor de cabeçalho gerado aleatoriamente, selecione Ativar nonce.
Saiba mais sobre o cabeçalho Content-Security-Policy-Report-Only.
Referrer-Policy
Ative o cabeçalho Referrer-Policy para controlar quais das informações referenciadas devem ser incluídas nas solicitações.
Para ativar esse cabeçalho, marque a caixa de seleção Referrer-Policy e selecione uma Diretiva no menu suspenso.
Para obter uma definição das diretivas disponíveis, consulte o guia do cabeçalho Referrer-Policy do Mozilla.
Feature-Policy
Ative o cabeçalho Feature-Policy para controlar o uso dos recursos do navegador na página, incluindo o conteúdo do elemento <iframe>.
Para ativar esse cabeçalho, marque a caixa de seleção Feature-Policy e insira as Diretivas. Para obter uma lista das diretivas, consulte o guia do cabeçalho Feature-Policy do Mozilla.
