How to set HSTS

Per impostare HSTS (HTTP Strict Transport Security) su Apache, segui questi passaggi:

1. Assicurati che il tuo sito sia accessibile tramite HTTPS:
   • Prima di abilitare HSTS, il tuo sito deve essere configurato correttamente con un certificato SSL/TLS valido.
   • Verifica che tutte le pagine e le risorse (immagini, script, CSS) siano servite tramite HTTPS.
2. Abilita il modulo mod_headers di Apache:
   • Questo modulo è necessario per impostare gli header HTTP.
   • Esegui il comando:
     bash

     Copia codice

     sudo a2enmod headers

   • Riavvia Apache per applicare le modifiche:
     bash

     Copia codice

     sudo systemctl restart apache2

3. Configura HSTS nel file di configurazione di Apache:
   • Apri il file di configurazione del tuo sito, ad esempio:
     bash

     Copia codice

     sudo nano /etc/apache2/sites-available/tuo-sito.conf

   • All’interno del blocco <VirtualHost *:443> (la configurazione per HTTPS), aggiungi la seguente direttiva:
     apache

     Copia codice

     <IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
</IfModule>

     • max-age=63072000: Imposta il periodo (in secondi) durante il quale il browser applicherà la policy HSTS (in questo caso, 2 anni).
     • includeSubDomains: Estende la policy HSTS a tutti i sottodomini.
     • preload: Indica che desideri includere il tuo dominio nella lista di preload HSTS dei browser.
4. Salva e chiudi il file, poi verifica la sintassi della configurazione di Apache:
   bash

   Copia codice

   sudo apachectl configtest

   • Se ci sono errori, correggili prima di procedere.
5. Riavvia Apache per applicare le modifiche:
   bash

   Copia codice

   sudo systemctl restart apache2

6. Verifica che l’header HSTS sia presente:
   • Utilizza curl per controllare la presenza dell’header:
     bash

     Copia codice

     curl -I https://tuo-dominio.com

     • Dovresti vedere una risposta simile a:
       lua

       Copia codice

       HTTP/1.1 200 OK
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

7. Considerazioni importanti:
   • includeSubDomains: Assicurati che tutti i tuoi sottodomini supportino HTTPS, altrimenti potrebbero diventare inaccessibili.
   • preload: Se desideri che il tuo sito sia incluso nella lista di preload HSTS, devi rispettare i requisiti specifici e inviare il tuo dominio su hstspreload.org.
   • Test iniziale: Potrebbe essere prudente iniziare con un max-age più basso (es. 86400 per 1 giorno) e senza includeSubDomains e preload, per testare che tutto funzioni correttamente.
8. Redirect da HTTP a HTTPS (opzionale ma consigliato):
   • Per assicurarti che tutte le richieste siano forzate su HTTPS, puoi impostare un redirect permanente nel blocco <VirtualHost *:80>:
     apache

     Copia codice

     <VirtualHost *:80>
ServerName tuo-dominio.com
Redirect permanent / https://tuo-dominio.com/
</VirtualHost>

9. Aggiorna i link interni:
   • Assicurati che tutti i link interni e le risorse puntino a URL HTTPS per evitare contenuti misti.
10. Monitora e mantieni:
    • Dopo l’implementazione, monitora il tuo sito per eventuali problemi.
    • Mantieni il certificato SSL/TLS aggiornato per evitare interruzioni del servizio.

Nota finale: L’implementazione di HSTS è una misura di sicurezza potente che richiede attenzione. Una volta che un browser ha ricevuto l’header HSTS, rispetterà la policy per la durata specificata in max-age, quindi eventuali errori nella configurazione possono avere un impatto significativo sugli utenti.

To clear a certificate in Google Chrome, you can follow these steps depending on what you need to achieve:

1. Clearing the SSL Certificate Cache

If you’re experiencing issues due to cached SSL certificates, you can clear the SSL certificate cache:

On Windows:

1. Close Google Chrome completely.
2. Open the Start menu and search for Internet Options, then open it.
3. In the Internet Properties window, go to the Content tab.
4. Click on Clear SSL state.
5. Click OK to confirm.
6. Restart Chrome and check if the issue is resolved.

Note: This clears the SSL cache for all browsers that use the Windows certificate store, including Chrome.

2. Removing Client Certificates

If you’ve installed client certificates in Chrome that you want to remove:

On Windows:

1. Open Google Chrome.
2. Type chrome://settings in the address bar and press Enter.
3. Scroll down and click on Privacy and security.
4. Click on Security.
5. Under Advanced, click on Manage certificates.
6. In the Certificates window, select the Personal tab.
7. Find the certificate you wish to remove, select it, and click Remove.
8. Confirm the deletion when prompted.

On macOS:

1. Open Finder and navigate to Applications > Utilities > Keychain Access.
2. In Keychain Access, select login and All Items.
3. Locate the certificate you want to delete.
4. Right-click the certificate and choose Delete.
5. Enter your system password if prompted to confirm the deletion.

3. Clearing HSTS Settings

If you’re having issues with a site due to HSTS (HTTP Strict Transport Security) policies, you can clear these settings:

1. Open Google Chrome.
2. Type chrome://net-internals/#hsts in the address bar and press Enter.
3. Under Delete domain security policies, enter the domain name (e.g., example.com).
4. Click Delete.
5. Restart Chrome to apply the changes.

4. Clearing Browser Cache and Cookies

Sometimes, clearing your browsing data can resolve certificate issues:

1. Open Google Chrome.
2. Press Ctrl + Shift + Delete (Windows) or Command + Shift + Delete (macOS) to open the Clear browsing data dialog.
3. Choose a Time range (select All time to clear everything).
4. Check Cookies and other site data and Cached images and files.
5. Click Clear data.

5. Resetting Chrome Settings (Optional)

If the problem persists, you might consider resetting Chrome to its default settings:

1. Open Google Chrome.
2. Type chrome://settings/reset in the address bar and press Enter.
3. Click on Restore settings to their original defaults.
4. Click Reset settings to confirm.

Important Considerations

• Backup Certificates: Before deleting any certificates, ensure you have backups if needed, as removing them may prevent access to certain websites or services.
• Impact on Browsing: Clearing SSL states or certificates can affect your browsing experience, requiring you to re-authenticate or re-accept security prompts.
• Keep Chrome Updated: Always ensure that you are using the latest version of Chrome for optimal security and performance.