Es ist erstaunlich, dass immer noch so viele spezifische und aktive Schritte unternommen werden müssen, um sicherzustellen, dass der HTTPS-Datenverkehr unserer Kunden wirklich so sicher ist, wie wir und sie hoffen. Zum Glück sind diese Schritte schnell und einfach, wenn Sie unsere flightPATH-Regeln für das Verkehrsmanagement nutzen können. flightPATH ist eine dynamische, ereignisbasierte Regel-Engine, die von edgeNEXUS entwickelt wurde, um IP-, HTTP- und HTTPS-Verkehr mit Lastverteilung intelligent zu manipulieren und zu routen. Sie ist hochgradig konfigurierbar und leistungsstark, aber dennoch sehr einfach zu bedienen. Eine dieser Regeln ermöglicht es Ihnen, einen Strict-Transport-Security HTTP-Header zu Webserver-Antworten hinzuzufügen, die über durch SSL/TLS geschützte Websites gesendet werden.
Der HTTP-Header Strict-Transport-Security und der Wert stellen sicher, dass die Clients Ihrer Website nur Anfragen über https:// stellen . Selbst wenn Ihre echten Webserver hinter einem Proxy oder Load Balancer (Sie wissen schon, ein edgeNEXUS ALB-X) sitzen und nicht wissen, dass ihre Inhalte tatsächlich über https:// bereitgestellt werden , wird der Client, wenn er https:// Links in Antworten sendet, trotzdem https:// für alle Links verwenden. Mit anderen Worten: Unabhängig davon, ob unsere echten Webserver sichere Links senden oder nicht, stellen die Kunden sicher, dass alle Links, denen sie folgen, sicher sind.
Wenn Ihre Entwickler oder das Betriebsteam einen Fehler machen, ist das kein Problem. Es besteht keine Gefahr, dass ein Client-Browser eine unsichere Anfrage stellt, solange er diesen Header empfängt und darauf reagiert (was alle gängigen modernen Browser tun). Wenn ein Kunde auf Ihrer SSL/TLS-geschützten Website ankommt, können Sie dafür sorgen, dass er dort sicher und konsistent ankommt. Wir haben auch eine Regel für die Umleitung von HTTP-Anfragen auf HTTPS, nur für den Fall, dass Sie diese benötigen (sie ist standardmäßig installiert).
Dies ist eine von vielen flightPATH Regeln zur Verwaltung des Datenverkehrs, die Sie einsetzen können, um die Sicherheit Ihrer Website und ihrer Benutzer zu verbessern. Weitere Regeln, die sich mit wenigen Klicks einrichten lassen, finden Sie in unserem Blog.
Wie wir oft betonen, liegt der große Vorteil der Verwendung eines Load Balancers darin, dass wir dies nur an einer einzigen Stelle tun müssen, um es auf allen unseren Servern (und Websites) einzusetzen. Wir müssen uns nicht auf Entwickler oder Apache-Neukonfigurationen verlassen. Auf dem edgeNEXUS Load Balancer importieren wir einfach eine jetPACK-Konfigurationsvorlage und weisen dem oder den virtuellen Diensten, die wir schützen möchten, eine flightPATH-Verkehrsregel zu.
Die Regel fügt die Kopfzeile nur hinzu, wenn sie nicht vorhanden ist. Sie funktioniert also auch dann, wenn unsere Webserver sie bereits einfügen oder vielleicht nur für bestimmte Seiten einfügen. Diese Regel sollte Teil Ihrer Standardkonfiguration für virtuelle Dienste sein – Sie haben nichts zu verlieren, egal wie die Seite aussieht. Sie können dieses jetPACK und viele andere auf der edgeNEXUS Github-Seite hier herunterladen
Dies ist eine der vielen flightPATH-Regeln, die wir entwickelt haben und die Sie einsetzen können, um die Sicherheit Ihrer Website und ihrer Benutzer zu verbessern. Weitere Informationen über sicherheitsrelevante HTTP-Header finden Sie in diesen Artikeln:
- Vereinfachung der Sicherheits-HTTP-Header mit edgeNEXUS Traffic Management: X-Content-Type-Options
- Ein HTTP-Sicherheits-Header zur Bekämpfung von „Clickjacking“ – Wie Sie die Sicherheit Ihrer Website mit dem X-Frame Options Header verbessern können
