Es sorprendente que todavía haya que tomar tantas medidas específicas y activas para garantizar que el tráfico HTTPS de nuestros clientes y el suyo es realmente tan seguro como nosotros y ellos esperamos. Por suerte, esos pasos son rápidos y sencillos cuando puedes utilizar nuestras reglas de gestión del tráfico flightPATH. flightPATH es un motor de reglas dinámico y basado en eventos desarrollado por edgeNEXUS para manipular y enrutar de forma inteligente el tráfico IP, HTTP y HTTPS de carga equilibrada. Es altamente configurable y potente, pero muy fácil de usar. Una de esas reglas te permite añadir una cabecera HTTP Strict-Transport-Security a las respuestas del servidor web servidas a través de sitios protegidos por SSL/TLS.
El valor y la cabecera HTTP Strict-Transport-Security garantizan que los clientes de tu sitio sólo realicen solicitudes a través de https://. Aunque tus servidores web reales estén detrás de un proxy o un equilibrador de carga (ya sabes, un edgeNEXUS ALB-X) y no sean conscientes de que su contenido se sirve a través de https://, si envían enlaces https:// en las respuestas, el cliente seguirá utilizando https:// para cualquier enlace. En otras palabras, tanto si nuestros servidores web reales envían enlaces seguros como si no, los clientes se asegurarán de que los enlaces que sigan lo sean.
Si tus desarrolladores cometen un error, o lo hace el equipo de operaciones; no hay problema. No hay ninguna posibilidad de que el navegador de un cliente realice una solicitud insegura, siempre que reciba esta cabecera y actúe en consecuencia (cosa que hacen todos los navegadores contemporáneos populares). Suponiendo que un cliente llegue a tu sitio real protegido por SSL/TLS, puedes ayudar a garantizar que lo hará de forma segura y coherente a partir de entonces. También tenemos una regla para redirigir peticiones HTTP a HTTPS, por si la necesitas (la encontrarás instalada por defecto).
Esta es una de las muchas reglas de gestión del tráfico flightPATH que puedes desplegar para mejorar la seguridad de tu sitio y de sus usuarios. Para conocer otras que se despliegan con la misma facilidad en unos pocos clics, consulta nuestro blog.
Como solemos señalar, la gran ventaja de utilizar un equilibrador de carga es que sólo tenemos que hacerlo en un único lugar para desplegarlo en todos nuestros servidores (y sitios). No necesitamos depender de desarrolladores ni de reconfiguraciones de Apache. En el equilibrador de carga edgeNEXUS sólo tenemos que importar una plantilla de configuración jetPACK y asignar una regla de tráfico flightPATH al Servicio o Servicios Virtuales que deseemos proteger.
La regla sólo añade la cabecera si no existe, por lo que funcionará incluso cuando nuestros servidores web ya la inserten o quizá sólo la inserten para páginas concretas. Esta regla debería formar parte de tu configuración estándar del Servicio Virtual: no tienes nada que perder sea cual sea el sitio, aunque, por supuesto, siempre se recomienda hacer pruebas. Puedes descargar este jetPACK y muchos otros en el sitio Github de edgeNEXUS aquí
Esta es una de las muchas reglas flightPATH que hemos desarrollado, y que puedes implementar para mejorar la seguridad de tu sitio y de sus usuarios. Para saber más sobre las cabeceras HTTP relacionadas con la seguridad, consulta estos artículos:
- Simplificando las Cabeceras HTTP de Seguridad con la Gestión de Tráfico edgeNEXUS: X-Content-Type-Options
- Un encabezado de seguridad HTTP para combatir el “clickjacking” – Cómo mejorar la seguridad de tu sitio con el encabezado de opciones X-Frame
