Après l’introduction de la fonction Perfect Forward Secrecy, le niveau de sécurité du serveur Web 4D a encore été augmenté grâce à la prise en charge de HTTP Strict transport Security (HSTS). Désormais, le serveur Web 4D est conforme aux protocoles de sécurité les plus récents. Il vous suffit de passer à la version 4D v17 et d’activer HSTS pour obtenir le classement A+ (le plus haut niveau) de SSL Labs pour vos sites Web !
Le protocole HTTPS est utilisé pour sécuriser les communications entre un client et un serveur. Dans un monde où vos clients peuvent accéder à votre site via des connexions au WiFi public dans un aéroport ou dans un café, il est très important de demander aux navigateurs de vos clients d’utiliser HTTPS. Pour ce faire, il suffit d’activer la nouvelle fonctionnalité HSTS sur votre serveur Web 4D !
ACTIVATION DU HSTS
HSTS permet aux serveurs Web de déclarer que les navigateurs ne doivent interagir avec eux que par le biais de connexions HTTPS sécurisées. Une fois activée, le serveur Web 4D ajoutera automatiquement des informations relatives au HSTS à tous vos en-têtes de réponse.
Lorsqu’un navigateur reçoit la réponse initiale du serveur Web 4D avec les informations HSTS, il l’enregistre. À partir de ce moment, toutes les futures demandes HTTP seront automatiquement transformées en HTTPS. Et vous pouvez spécifier la durée de conservation de ces informations par le navigateur avec l’option Web HSTS max age.
// Le temps pendant lequel le navigateur doit se souvenir que le site ne peut être consulté qu'en HTTPS.
WEB SET OPTION(Web HSTS max age;25778800)
// Activer le HSTS sur le serveur Web 4D
WEB SET OPTION(Web HSTS enabled;1)
Gestion de HTTP et HTTPS
En plus de l’option Web HSTS max age, deux autres options ont été ajoutées à la commande WEB SET OPTION afin que vous puissiez activer/désactiver HTTP ou HTTPS de manière programmatique sur votre serveur Web 4D.
// Désactiver HTTP sur votre serveur Web 4D
WEB SET OPTION(Web HTTP enabled;0)
// Activer HTTPS sur votre serveur Web 4D
WEB SET OPTION(Web HTTPS enabled;1)
L’option permettant d’activer ou de désactiver HTTP a également été ajoutée aux paramètres de la base de données dans la page Web/Configuration.