Ir para o conteúdo principal
Isenção de responsabilidade de tradução: esse conteúdo foi traduzido para sua conveniência com o uso de software e pode não ter sido revisado por uma pessoa. O texto oficial é a versão em inglês e sempre será o texto mais atualizado. Para ver a versão em inglês, clique aqui.
Domains & URLs

SSL e segurança de domínio no HubSpot

Ultima atualização: Julho 27, 2021

Disponível para

Marketing Hub  Starter, Professional, Enterprise
CMS Hub  Professional, Enterprise
Marketing Hub Basic (versão anterior)

O HubSpot fornece automaticamente um certificado SAN SSL padrão através do DigiCert quando você conecta um domínio à sua conta. Isso geralmente leva alguns minutos, mas pode levar até quatro horas.

Se você adquiriu o complemento SSL personalizado, você pode fazer upload de certificados SSL personalizados para o HubSpot. Você também pode configurar configurações de segurança para cada domínio conectado, tais como versão TLS e cabeçalhos de segurança.

Atenção: se você encontrar erros durante o processo de provisionamento SSL, saiba mais sobre a solução de problemas de erros de certificados SSL.

SSL

SAN SSL padrão fornecido através do HubSpot é gratuito e se renova automaticamente 30 dias antes de expirar. Para renovar o certificado:

  • Você deve ser um cliente HubSpot.
  • Você deve ter o seu domínio CNAME apontado para o servidor seguro configurado no processo inicial.
Se preferir usar um fornecedor ou tipo de certificado diferente, você pode adicionar certificados SSL personalizados à sua conta comprando o add-on SSL personalizado. Você não pode usar um certificado SSL pré-existente, porque isso compromete a segurança do certificado.
 

Porfavor note: DigiCert é a autoridade certificadora que providencia um certificado para o seu domínio. Se o seu domínio tiver um registro de Autorização da autoridade de certificação (CAA), certifique-se de que digicert.com esteja listado para que o SSL possa ser provisionado ou renovado.

Provisione previamente seu certificado SSL

Se você estiver movendo seu site existente para o HubSpot, você pode querer pré-provisionar um certificado SSL para que não haja tempo de inatividade do SSL. Você pode pré-provisionar um certificado SSL enquanto conecta um domínio ao HubSpot.

Para pré-provisionar um certificado SSL:

  • Na página Configuração de DNS do processo de conexão do domínio, um banner aparecerá se seu site tiver um certificado SSL existente. Clique em Clique aqui para começar o processo de provisionamento. 

    pre-provision-ssl-certificate
  • Siga as instruções na caixa de diálogo:
    • Entre na sua conta do provedor de DNS, como GoDaddy ou Namecheap.
    • No seu provedor de DNS, acesse a tela de configurações de DNS onde você gerencia seus registros de DNS.
    • Crie novos registros de DNS de acordo com a caixa de diálogo usando o Host (nome) e valores de Valor fornecidos na caixa de diálogo.

Por favor, note: se você estiver usando Network Solutions, Namecheap ou GoDaddy, você não precisa copiar o domínio raiz. O seu provedor adicionará automaticamente um domínio raiz ao fim do registro DNS

  • Clique em Verificar. Pode levar até quatro horas para o processamento de suas alterações. Se você receber um erro ao clicar em Verificar, aguarde alguns minutos e clique em Verificar para verificar novamente.

Assim que o certificado tiver sido pré-provisionado, um banner de confirmação aparecerá na tela de conexão do domínio. Você pode continuar conectando seu domínio.

ssl-pre-provision-success

Configurações de segurança do domínio

Você pode personalizar as configurações de segurança para cada subdomínio conectado ao HubSpot. As configurações de segurança incluem o protocolo do seu site (HTTP x. HTTPS), a versão do TLS e os cabeçalhos de segurança do seu site.

Para atualizar as configurações de segurança do domínio:

  • Na sua conta da HubSpot, clique no ícone de configurações settingsna barra de navegação principal.
  • No menu da barra lateral esquerda, acesse Site > Domínios e URLs.
  • Clique em Editar ao lado do domínio e selecione Atualizar configurações de segurança do domínio.
update-domain-security-settings


Protocolo HTTPS

Você pode exigir que todas as páginas no seu site carreguem com segurança. Uma vez ativado, o conteúdo carregado por HTTP, como imagens e folhas de estilo, não será carregado no seu site. O conteúdo carregado por HTTP em um site HTTPS é chamado de conteúdo misto. Saiba como resolver erros de conteúdo variado em sua página.

Para ativar o protocolo HTTPS, marque a caixa de seleção Exigir HTTPS.


require-https


Versão do TLS

Por padrão, os servidores da HubSpot aceitarão uma conexão usando TLS 1.0 e superiores.

Para alterar quais versões do TLS são suportadas, clique no menu suspenso Versão do TLS e selecione a versão do TLS mais baixa que deseja suportar. Ocorrerão erros nas conexões que tentarem usar uma versão do TLS inferior ao mínimo definido.

TLS-version

Cabeçalhos de segurança

Você pode configurar a segurança do seu domínio e ligar os cabeçalhos de segurança para cada domínio.

Segurança Estrita de Transporte HTTP (HSTS)

Você pode adicionar uma camada extra de segurança ao seu site ativando a segurança HTTP Studio Transport (HSTS). A HSTS instrui os navegadores para converter todas as solicitações HTTP para solicitações de HTTPS. A ativação do HSTS adiciona o cabeçalho do HSTS às respostas para solicitações feitas nas URLs do subdomínio.

  • Para ativar o HSTS, clique na guia Cabeçalhos de segurança e marque a caixa de seleção HTTP Studio Transport (HSTS).


security-HSTS-setting

  • Para definir por quanto tempo o navegador deve se lembrar de converter solicitações HTTP para HTTPS, clique no menu suspenso Duração (idade máxima) e selecione uma duração.
  • Para incluir a política de pré-carregamento no cabeçalho HSTS do domínio, marque a caixa de seleção Ativar pré-carregamento. Saiba mais sobre o Pré-carregamento de HSTS.
  • Para incluir o cabeçalho HSTS em todos os subdomínios sob o subdomínio selecionado, marque a caixa de seleção Incluir subdomínios. Por exemplo, se HSTS estiver ativado para www.examplewebsite.com e a caixa de seleção Incluir subdomínios estiver selecionada, o site www.examplewebsite.com também terá o HSTS ativado.

Saiba mais sobre o cabeçalho HSTS.

Configurações adicionais de segurança de domínio (somente CMS Hub Enterprise)

Se você tiver uma conta CMS Hub Enterprise, poderá ativar as configurações de segurança adicionais abaixo.

X-Frame-Options

Ative o cabeçalho de resposta X-Frame-Options para indicar se um navegador pode ou não renderizar uma página nas tags HTML <frame>, <iframe>, <embed> ou <object>.

Para ativar X-Frame-Options, marque a caixa de seleção X-Frame-Options e selecione uma Diretiva do menu suspenso:

  • Para evitar que as páginas do seu domínio sejam carregadas em qualquer página nas tags acima, selecione rejeitar.
  • Para permitir que as páginas carreguem as tags acima apenas no seu domínio, selecione sameorigin.

    x-frame-options-setting

Saiba mais sobre o cabeçalho X-Frame-Options.

X-XSS-Protection

Ative o cabeçalho X-XSS-Protection para adicionar uma camada de segurança para os usuários de navegadores web mais antigos, a fim de evitar que as páginas carreguem quando o script do site for detectado.

Para ativar esse cabeçalho, marque a caixa de seleção X-XSS-Protection e selecione uma Configuração XSS no menu suspenso:

  •  Para desativar a filtragem de XSS, selecione 0.
  • Para remover as partes inseguras de uma página quando um ataque de scripting entre sites for detectado, selecione 1.
  • Para evitar a renderização de uma página se um ataque for detectado, selecione 1; mode=block.

    x-xss-protection-header

Saiba mais sobre o cabeçalho X-XSS-Protection.

X-Content-Type-Options

Ative o cabeçalho X-Content-Type-Options para remover a detecção do tipo MIME. A ativação dessa configuração informa ao navegador para seguir os tipos MIME anunciados nos cabeçalhos Content-Type. 

x-content-type-options

Saiba mais sobre o cabeçalho X-Content-Type-Options.

Content-Security-Policy

Ative o cabeçalho Content-Security-Policy para controlar os recursos que o agente do usuário pode carregar em uma página. Este cabeçalho ajuda a impedir os ataques de scripting do site.

Para ativar o cabeçalho Content-Security-Policy, marque a caixa de seleção Content-Security-Policy e insira as Diretivas de política. Para uma lista de diretivas disponíveis, confira oguia do cabeçalho Content-Security-Policy do Mozilla.

Para permitir que elementos <script> sejam executados apenas se contiverem um atributo nonce correspondente ao valor de cabeçalho gerado aleatoriamente, selecione Ativar nonce. 


content-security-policy-header

Content-Security-Policy-Report-Only

Ative o cabeçalho Content-Security-Policy-Report-Only para monitorar diretivas de política. As diretivas de política não serão aplicadas, mas os efeitos serão monitorados, o que pode ser útil ao experimentar políticas.

Para ativar esse cabeçalho, marque a caixa de seleção Content-Security-Policy-Report-Only e insira as Diretivas de política

Para permitir que elementos <script> sejam executados apenas se contiverem um atributo nonce correspondente ao valor de cabeçalho gerado aleatoriamente, selecione Ativar nonce. 

content-security-policy-report-only-header

Saiba mais sobre o cabeçalho Content-Security-Policy-Report-Only.

Referrer-Policy

Ative o cabeçalho Referrer-Policy para controlar quais das informações referenciadas devem ser incluídas nas solicitações.

Para ativar esse cabeçalho, marque a caixa de seleção Referrer-Policy e selecione uma Diretiva no menu suspenso.

referrer-policy-headerPara obter uma definição das diretivas disponíveis, consulte o guia do cabeçalho Referrer-Policy do Mozilla.

Feature-Policy

Ative o cabeçalho Feature-Policy para controlar o uso dos recursos do navegador na página, incluindo o conteúdo do elemento <iframe>.

Para ativar esse cabeçalho, marque a caixa de seleção Feature-Policy e insira as Diretivas. Para obter uma lista das diretivas, consulte o guia do cabeçalho Feature-Policy do Mozilla.

feature-policy-header