HSTS (HTTP Strict Transport Security)
L’en-tête de réponse HTTP Strict-Transport-Security (HSTS) permet à un site Web (domaine) d’indiquer aux navigateurs qu’il ne doit être accessible qu’avec le protocole HTTPS et non avec le protocole HTTP. Ce mécanisme permet de protéger les sites Web contre les cyberattaques.
Pour activer HSTS pour ESA Authentication Server, procédez comme suit :
1.Ouvrez le fichier C:\Program Files\ESET Secure Authentication\EIP.Core.WindowsService.exe.config avec un éditeur de texte, par exemple, le Bloc-notes.
2.Ajoutez <add key="StrictTransportSecurityEnabled" value="true" /> à ce fichier après la balise <appSettings>.
|
Exemple de fichier EIP.Core.WindowsService.EXE.config modifié <?xml version="1.0" encoding="utf-8"?> ... <configuration> <appSettings> <add key="StrictTransportSecurityEnabled" value="true" /> ... </appSettings> ... </configuration> ... |
... représente le code existant à laisser intact dans le fichier .config.
3.Redémarrer le service ESACore
Pour activer HSTS pour le Connecteur de fournisseur d’identité d’ESA, appliquez les modifications mentionnées ci-dessus dans le fichier C:\Program Files\ESET Secure Authentication\IdentityProviderConnector\Web.config.
|
Faites attention aux navigateurs qui se souviennent du paramètre HSTS par domaine. L’activation de HSTS dans votre instance ESA peut influencer d’autres sites Web accessibles à partir du même domaine (ou nom d’hôte) que votre instance ESA. Pour éviter un tel problème, rendez votre instance ESA accessible sur un domaine distinct (nom d’hôte). Ajoutez le domaine aux enregistrements DNS ou aux fichiers d’hôte et régénérez le certificat ESA pour inclure ce domaine dans le nom d’objet (et/ou l’autre nom d’objet) du certificat. |
