O HubSpot provisiona automaticamente um certificado SAN SSL padrão por meio do Google Trust Services quando você conecte um domínio à sua conta. Isso geralmente leva alguns minutos, mas pode levar até quatro horas.
Se você comprou o complemento SSL personalizado, você pode carregue certificados SSL personalizados para o HubSpot. Você também pode definir as configurações de segurança para cada domínio conectado, como a versão TLS e os cabeçalhos de segurança.
Observe: se você encontrar erros durante o processo de provisionamento SSL, saiba mais sobre solução de problemas de erros de certificado SSL.
Se você estiver movendo seu site existente para o HubSpot, você pode querer pré-provisionar um certificado SSL para que não haja tempo de inatividade do SSL. Você pode pré-provisionar um certificado SSL enquanto conectando um domínio ao HubSpot.
Para pré-provisionar um certificado SSL:
Observe: se você estiver usando Soluções de rede, Nome barato, ou Vai Papai, você não precisa copiar o domínio raiz. O provedor adicionará um domínio raiz ao final do registro DNS automaticamente.
Assim que o certificado tiver sido pré-provisionado, um banner de confirmação aparecerá na tela de conexão do domínio. Você pode continuar conectando seu domínio.
Se você vir um erro nas configurações do seu domínio informando que "Os domínios de proxy reverso precisam da sua ação para evitar a interrupção do site.", é recomendado adicionar um registro de Validação de Controle de Domínio (DCV) para manter seu certificado SSL atualizado.
Você pode personalizar as configurações de segurança para cada subdomínio conectado ao HubSpot. As configurações de segurança incluem o protocolo do seu site (HTTP x. HTTPS), a versão do TLS e os cabeçalhos de segurança do seu site.
Para atualizar as configurações de segurança do domínio:
Você pode exigir que todas as páginas no seu site carreguem com segurança. Uma vez ativada esta configuração, o conteúdo carregado por HTTP, como imagens e folhas de estilo, não será carregado no site. O conteúdo carregado por HTTP em um site HTTPS é chamado de conteúdo misto. Aprenda como resolver erros de conteúdo misto na sua página.
Para ativar o protocolo HTTPS, marque a caixa de seleção Exigir HTTPS.
Por padrão, os servidores da HubSpot aceitarão uma conexão usando TLS 1.0 e superiores.
Para alterar quais versões do TLS são suportadas, clique no menu suspenso Versão do TLS e selecione a versão do TLS mais baixa que deseja suportar. Ocorrerão erros nas conexões que tentarem usar uma versão do TLS inferior ao mínimo definido.
Você pode configurar a segurança do seu domínio e ativar os cabeçalhos de segurança para cada domínio.
Você pode adicionar uma camada extra de segurança ao seu site ativando a segurança HTTP Studio Transport (HSTS). A HSTS instrui os navegadores para converter todas as solicitações HTTP para solicitações de HTTPS. A ativação do HSTS adiciona o cabeçalho HSTS às respostas para solicitações feitas nos URLs do subdomínio.
Saiba mais sobre o cabeçalho HSTS.
Se você tem um Centro de conteúdo Iniciante, Profissional, ou Empresa conta, você pode ativar as configurações de segurança adicionais abaixo.
Ative o cabeçalho de resposta X-Frame-Options para indicar se um navegador pode ou não renderizar uma página nas tags HTML <frame>, <iframe>, <embed> ou <object>.
Para ativar X-Frame-Options, marque a caixa de seleção X-Frame-Options e selecione uma Diretiva do menu suspenso:
Saiba mais sobre o cabeçalho X-Frame-Options.
Ative o cabeçalho X-XSS-Protection para adicionar uma camada de segurança para os usuários de navegadores web mais antigos, a fim de evitar que as páginas carreguem quando o script do site for detectado.
Para ativar esse cabeçalho, marque a caixa de seleção X-XSS-Protection e selecione uma Configuração XSS no menu suspenso:
Saiba mais sobre o cabeçalho X-XSS-Protection.
Ative o cabeçalho X-Content-Type-Options para desativar páginas Detecção de tipo MIME. A ativação dessa configuração informa ao navegador para seguir os tipos MIME anunciados nos cabeçalhos Content-Type.
Saiba mais sobre o cabeçalho X-Content-Type-Options.
Ative o cabeçalho Content-Security-Policy para controlar os recursos que o agente do usuário pode carregar em uma página. Este cabeçalho ajuda a impedir os ataques de scripting do site.
Para ativar o cabeçalho Content-Security-Policy, marque a caixa de seleção Content-Security-Policy e insira as Diretivas de política. Para uma lista de diretivas disponíveis, confira oguia do cabeçalho Content-Security-Policy do Mozilla.
Para usar o cabeçalho Content-Security-Policy com as versões da web de e-mails de marketing, adicione a palavra-chave 'unsafe-inline', conforme descrito aqui. Caso contrário, o estilo do e-mail será bloqueado.
Para permitir que elementos <script> sejam executados apenas se contiverem um atributo nonce correspondente ao valor de cabeçalho gerado aleatoriamente, selecione Ativar nonce.
Observação: o HubSpot gera automaticamente um valor aleatório a cada solicitação para todos os scripts recebidos do HubSpot e para todos os scripts hospedados no HubSpot.
Os seguintes domínios devem ser incluídos para garantir a funcionalidade nas páginas hospedadas pela HubSpot:
| Domínio* | Diretiva(s) | Ferramenta |
| *.hsadspixel.net | script-src | Anúncios |
| *.hs-analytics.net | script-src | Análise |
| *.hubapi.com | connect-src | Chamadas de API (HubDB, envios de formulários) |
| js.hscta.net | script-src, img-src, connect-src | Calls to action (botão) |
| js-eu1.hscta.net (Somente hospedagem de dados europeia) | script-src, img-src, connect-src | Calls to action (botão) |
| no-cache.hubspot.com | img-src | Calls to action (botão) |
| *.hubspot.com | script-src, img-src, connect-src, frame-src | Calls to action (pop-up), fluxos de chat |
| *.hs-sites.com | frame-src | Calls to action (pop-up) |
| *.hs-sites-eu1.com (Somente hospedagem de dados europeia ) | frame-src | Calls to action (pop-up) |
| static.hsappstatic.net | script-src | Conteúdo (menu da roda dentada, incorporação de vídeo) |
| *.usemessages.com | script-src | Conversas, fluxos de chat |
| *.hs-banner.com | script-src, connect-src | Banner de cookies |
| *.hubspotusercontent##.net (## pode ser 00, 10, 20, 30 ou 40) | script-src, img-src, style-src | Arquivos |
| *.hubspot.net | script-src, img-src, frame-src | Arquivos |
| play.hubspotvideo.com | frame-src | Arquivos (vídeos) |
| play-eu1.hubspotvideo.com (Somente hospedagem de dados europeia) | frame-src | Arquivos (vídeos) |
| cdn2.hubspot.net | img-src, style-src | Arquivos, folhas de estilo |
| Seu domínio conectado à HubSpot | frame-src, style-src, script-src | Arquivos, folhas de estilo |
| *.hscollectedforms.net | script-src, connect-src | Formulários (coletados) |
| *.hsleadflows.net | script-src | Formulários (formulários pop-up) |
| *.hsforms.net | script-src, img-src, frame-src | Formulários, pesquisas |
| *.hsforms.com | script-src, img-src, frame-src, connect-src, child-src | Formulários, pesquisas |
| *.hs-scripts.com | script-src | Código de rastreamento da HubSpot |
| *.hubspotfeedback.com | script-src | Pesquisas |
| feedback.hubapi.com | script-src | Pesquisas |
| feedback-eu1.hubapi.com (Somente hospedagem de dados europeia) | script-src | Pesquisas |
Ative o cabeçalho Content-Security-Policy-Report-Only para monitorar diretivas de política. As diretivas de política não serão aplicadas, mas os efeitos serão monitorados, o que pode ser útil ao experimentar políticas.
Para ativar esse cabeçalho, marque a caixa de seleção Content-Security-Policy-Report-Only e insira as Diretivas de política.
Para permitir que elementos <script> sejam executados apenas se contiverem um atributo nonce correspondente ao valor de cabeçalho gerado aleatoriamente, selecione Ativar nonce.
Saiba mais sobre o cabeçalho Content-Security-Policy-Report-Only.
Ative o cabeçalho Referrer-Policy para controlar quais das informações referenciadas devem ser incluídas nas solicitações.
Para ativar esse cabeçalho, marque a caixa de seleção Referrer-Policy e selecione uma Diretiva no menu suspenso.
Ative o cabeçalho Permissions-Policy para controlar o uso dos recursos do navegador na página, incluindo o conteúdo do elemento <iframe>.
Para ativar esse cabeçalho, marque a caixa de seleção Permissions-Policy e insira as Diretivas. Para obter uma lista das diretivas, consulte o guia de política de permissões do Mozilla.