C03-T023 · HTTPS / TLS / certificats
includeSubDomains
includeSubDomains protège aussi les hôtes enfants, mais impose que chacun soit disponible en HTTPS.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Inventoriez et testez d’abord tous les sous-domaines, y compris les anciens environnements, puis ajoutez includeSubDomains.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C03-T023 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Ouvrez Plesk > Domaines > Apache & nginx > Directives nginx supplémentaires et notez sa configuration actuelle.
- Inventoriez et testez d’abord tous les sous-domaines, y compris les anciens environnements, puis ajoutez includeSubDomains.
- Vérifiez le parcours concerné et relancez C03-T023 dans AxiSecurity.
Preuve attendue
inspectez la chaîne TLS et les réponses HTTP du domaine avec et sans www.
Exemple de configuration
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^strict-transport-security:'