C03-T021 · HTTPS / TLS / certificats
HSTS
HSTS demande au navigateur de ne plus revenir en HTTP pendant la durée annoncée.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Ajoutez la directive dans Plesk > Apache & nginx > Directives nginx supplémentaires, enregistrez puis testez le vhost. Commencez sans preload.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C03-T021 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Ouvrez Plesk > Domaines > Apache & nginx > Directives nginx supplémentaires et notez sa configuration actuelle.
- Ajoutez la directive dans Plesk > Apache & nginx > Directives nginx supplémentaires, enregistrez puis testez le vhost. Commencez sans preload.
- Vérifiez le parcours concerné et relancez C03-T021 dans AxiSecurity.
Preuve attendue
inspectez la chaîne TLS et les réponses HTTP du domaine avec et sans www.
Exemple de configuration
add_header Strict-Transport-Security "max-age=31536000" always;
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^strict-transport-security:'