INTEGRITY Dokumentace

← Případy užití / use-cases / solutions

Vynucujte HTTPS a šifrujte veškerý provoz (Free, Pro a Business)

HTTPS na Cloudflare zahrnuje dvě samostatná spojení: mezi návštěvníkem a Cloudflare a mezi Cloudflare a vaším origin serverem. Aby bylo zabezpečení end-to-end, musí být šifrovaná obě. Tento návod vás provede pěti fázemi:

  1. Nakonfigurujte režim šifrování SSL/TLS.
  2. Přesměrujte veškeré požadavky HTTP na HTTPS.
  3. Zabezpečte nastavení HTTPS pomocí minimální verze TLS a HSTS.
  4. Sledujte skripty třetích stran na svých stránkách.
  5. Ověřte svou konfiguraci.

Základní postup je k dispozici v plánech Free, Pro a Business.

Konfigurace režimu šifrování SSL/TLS

Váš režim šifrování SSL/TLS určuje, jak se Cloudflare připojuje k vašemu origin serveru. Pro šifrování typu end-to-end použijte Full (strict) : šifruje obě spojení a ověřuje váš origin certifikát. Podrobné srovnání všech dostupných režimů najdete v Režimy šifrování.

Zkontrolujte svůj aktuální režim

  1. V dashboardu Cloudflare přejděte na Přehled SSL/TLS stránce.

    Přejděte na Přehled ↗

  2. Zkontrolujte aktuální režim šifrování zobrazený na stránce.

    • Pokud už je režim nastaven na Full (strict), přeskočte na Přesměrujte veškeré požadavky HTTP na HTTPS.
    • Pokud režim není nastaven na Full (strict), pokračujte níže instalací origin certifikátu (pokud je potřeba) a změnou režimu.

Nainstalujte certifikát Cloudflare Origin CA

Pokud váš origin server nemá platný certifikát SSL, nainstalujte si bezplatný certifikát Cloudflare Origin CA. Certifikáty Origin CA platí až 15 let a Cloudflare jim důvěřuje, takže po jejich instalaci můžete šifrovací režim nastavit na Full (strict).

Pokud váš origin už má platný certifikát od veřejně důvěryhodné certifikační autority, přejděte rovnou na Nastavte režim šifrování na Full (strict).

1. Vytvoření certifikátu Origin CA

  1. Přejděte na Origin server stránce.

    Přejděte na Origin server ↗

  2. Na Origin certifikáty kartě vyberte Create Certificate.

  3. Vyberte jednu z těchto možností:

    • Generování soukromého klíče a CSR pomocí Cloudflare: Typ privátního klíče může být RSA nebo ECC.
    • Použít můj soukromý klíč a CSR: Vložte svůj Certificate Signing Request (CSR) do textového pole.

  4. Uveďte názvy hostitelů (včetně zástupných znaků), které má certifikát chránit pomocí šifrování SSL. Kořenová doména zóny a zástupný název hostitele první úrovně jsou zahrnuty ve výchozím nastavení.

  5. Vyberte Platnost certifikátu období.

  6. Vyberte Vytvořit.

  7. Vyberte Formát klíče:

    • Servery využívající OpenSSL (například Apache a NGINX) obvykle očekávají soubory PEM (ASCII kódované v Base64), ale fungují i s binárními soubory DER.
    • Servery se systémem Windows a Apache Tomcat vyžadují PKCS#7 ( .p7b soubor).

  8. Zkopírujte podepsaný Origin certifikát a Privátní klíč do samostatných souborů. Z bezpečnostních důvodů nemůžete zobrazit Privátní klíč po opuštění této obrazovky.

  9. Vyberte OK.

2. Nainstalujte certifikát na svůj origin server

  1. Nahrajte certifikát Origin CA na svůj origin server.

  2. Upravte konfiguraci webového serveru tak, aby používala certifikát. Pokyny k instalaci pro váš konkrétní server najdete v Origin CA certificates.

  3. (U některých serverů nutné) Nahrajte Kořenový certifikát Cloudflare CA na váš origin server.

  4. Povolte SSL a port 443 na vašem origin webovém serveru.

Nastavte režim šifrování na Full (strict)

Po instalaci platného certifikátu na svém origin serveru nastavte režim šifrování na Full (strict) podle následujících kroků.

Chcete-li změnit režim šifrování v dashboardu:

  1. V dashboardu Cloudflare přejděte na Přehled SSL/TLS stránce.

    Přejděte na Přehled ↗

  2. Vyberte šifrovací režim.

Chcete-li upravit režim šifrování pomocí API, odešlete PATCH požadavek s ssl jako název nastavení v cestě URI a value parametr nastavený na požadovanou hodnotu (off, flexible, full, strict, nebo origin_pull).

Přesměrujte veškeré požadavky HTTP na HTTPS

I s aktivním edge certifikátem se návštěvníci mohou k prostředkům stále dostat přes nezabezpečené HTTP připojení. K nápravě slouží dvě vzájemně provázaná nastavení:

  1. Always Use HTTPS přesměrovává požadavky HTTP na HTTPS
  2. Automatic HTTPS Rewrites opravuje odkazy na smíšený obsah v HTML vaší stránky

Zapněte Always Use HTTPS

Always Use HTTPS přesměrovává všechny požadavky HTTP na HTTPS dříve, než dosáhnou vašeho origin serveru.

  1. V dashboardu Cloudflare přejděte na Přehled SSL/TLS stránce.

    Přejděte na Přehled ↗

  2. Ujistěte se, že vaše režim šifrování SSL/TLS není nastaveno na Vypnuto. Když je režim šifrování nastaven na Off, možnost Always Use HTTPS se v dashboardu nezobrazuje.

  3. Přejděte na Edge Certificates ↗ stránce.

  4. Zapněte Always Use HTTPS.

  1. Ujistěte se, že vaše režim šifrování SSL/TLS není nastaveno na Vypnuto.

  2. Odešlete PATCH požadavek s always_use_https jako název nastavení v cestě URI a value parametr nastavený na "on".

Zapněte Automatic HTTPS Rewrites

Automatic HTTPS Rewrites předchází chybám se smíšeným obsahem tím, že v HTML vaší stránky přepisuje URL adresy HTTP zdrojů na HTTPS. To se hodí u webů, kde nemáte kontrolu nad všemi URL adresami zdrojů, například u obsahu hostovaného v CMS nebo u vložených prostředků třetích stran.

  1. V dashboardu Cloudflare přejděte na Edge Certificates stránce.

    Přejděte na Edge Certificates ↗

  2. Pro Automatic HTTPS Rewrites, přepněte přepínač na On.

Odešlete PATCH požadavek s automatic_https_rewrites jako název nastavení v cestě URI a value parametr nastavený na "on".

Zabezpečte konfiguraci HTTPS

Jakmile je nastaven režim šifrování a HTTP provoz je přesměrován, posilte konfiguraci nastavením minimální verze TLS, zapnutím HTTP Strict Transport Security (HSTS) a zapnutím TLS 1.3.

Nastavte minimální verzi TLS

TLS 1.0 a 1.1 mají známé zranitelnosti a již nejsou považovány za bezpečné. Nastavením minimální verze TLS na 1.2 zablokujete připojení klientů používajících starší protokoly. Informace o tom, kterou verzi zvolit, najdete v Protokoly TLS.

  1. V dashboardu Cloudflare přejděte na Edge Certificates stránce.

    Přejděte na Edge Certificates ↗

  2. Pro Minimum TLS Version, vyberte TLS 1.2.

Odešlete PATCH požadavek s min_tls_version jako název nastavení v cestě URI a value parametr nastavený na "1.2".

Zapněte TLS 1.3

TLS 1.3 nabízí rychlejší handshake a vyšší zabezpečení než TLS 1.2.

  1. V dashboardu Cloudflare přejděte na Edge Certificates stránce.

    Přejděte na Edge Certificates ↗

  2. Pro TLS 1.3, přepněte přepínač na On.

Odešlete PATCH požadavek s tls_1_3 jako název nastavení v cestě URI a value parametr nastavený na "on". Chcete-li také zapnout 0-RTT (Zero Round Trip Time Resumption), nastavte hodnotu na "zrt".

Zapněte HSTS

HTTP Strict Transport Security (HSTS) přidává do odpovědi hlavičku, která prohlížečům nařizuje připojovat se k vašemu webu pouze přes HTTPS, i když je odkaz nebo přesměrování navede na HTTP. HSTS tak chrání před útoky založenými na snížení úrovně protokolu.

Než HSTS zapnete, ověřte tyto předpoklady:

  1. V dashboardu Cloudflare přejděte na Edge Certificates stránce.

    Přejděte na Edge Certificates ↗

  2. Pro HTTP Strict Transport Security (HSTS), vyberte Povolení HSTS.

  3. Přečtěte si dialogové okno a vyberte Rozumím.

  4. Vyberte Next.

  5. Nakonfigurujte nastavení HSTS:

    • Hlavička Max Age: Vyberte dobu trvání (začněte na 6 měsících a po ověření stability ji prodlužte na 12 měsíců).
    • Apply HSTS policy to subdomains (includeSubDomains): Zapněte, pokud všechny vaše subdomény podporují HTTPS. Po zapnutí této funkce se subdomény bez HTTPS stanou nedostupnými.
    • Preload: Zapněte až po nastavení Max Age Header na 12 měsíců. Zařazení do Preload zabraňuje downgrade útokům při první návštěvě. Doménu odešlete na hstspreload.org ↗ po zapnutí preload.
    • Hlavička No-Sniff: Odešle X-Content-Type-Options: nosniff hlavičku. Zapněte ji, aby prohlížeče nezjišťovaly typ obsahu pomocí MIME sniffingu.

  6. Vyberte Save.

Odešlete PATCH požadavek s security_header jako název nastavení v cestě URI a zadejte value objekt, který obsahuje vaše nastavení HSTS.

Zkontrolujte sady šifer

Výchozí sady šifer Cloudflare zajišťují silné šifrování pro většinu webů. Měnit je musíte jen tehdy, pokud to vyžaduje bezpečnostní audit nebo požadavek na soulad s předpisy.

Podrobnosti o výchozích sadách šifer a jejich přizpůsobení najdete v Šifrovací sady. Konfigurace šifrování pro konkrétní požadavky compliance viz Přizpůsobení sad šifer přes API.

Sledování skriptů třetích stran pomocí zabezpečení na straně klienta

HTTPS šifruje data při přenosu, ale skripty třetích stran načítané na vašich stránkách mohou přesto data z prohlížeče odcizit. Zabezpečení na straně klienta tyto skripty sleduje a upozorní vás na neočekávané přidání nových skriptů.

Zapněte monitorování skriptů

  1. V dashboardu Cloudflare přejděte na Security Nastavení stránce.

    Přejděte na Nastavení ↗

  2. (Volitelné) Filtrujte podle Zneužití na straně klienta.

  3. Zapněte Průběžné monitorování skriptů.

Zkontrolujte zjištěné prostředky

Po zapnutí monitorování může Cloudflare potřebovat určitý čas, než vygeneruje seznam zjištěných skriptů na vaší doméně.

  1. V dashboardu Cloudflare přejděte na Webová aktiva stránce.

    Přejděte na Webová aktiva ↗

  2. Vyberte Zdroje na straně klienta kartě.

  3. Zkontrolujte seznam zjištěných skriptů. Vyhledejte neznámé nebo neočekávané skripty z domén, které nepoznáváte.

V závislosti na vašem plánu Cloudflare můžete také kontrolovat připojení vytvořená skripty a prověřovat je na škodlivou aktivitu. Podrobnosti o nastavení najdete v Začínáme se zabezpečením na straně klienta.

Ověřte svou konfiguraci

Po dokončení předchozích kroků ověřte, že konfigurace HTTPS funguje podle očekávání.

Použijte Automatic SSL/TLS

Funkce Automatic SSL/TLS od Cloudflare analyzuje váš origin server a vybere nejbezpečnější šifrovací režim, který origin podporuje. Pokud vaše zóna používá Automatic SSL/TLS (výchozí nastavení pro nové zóny), Cloudflare režim upravuje automaticky a nepřejde na méně bezpečný režim ani v případě, že platnost certifikátu na originu vyprší.

Chcete-li zkontrolovat, zda vaše zóna používá Automatic SSL/TLS:

  1. V dashboardu Cloudflare přejděte na Přehled SSL/TLS stránce.

    Přejděte na Přehled ↗

  2. Zkontrolujte, zda Automatic SSL/TLS nebo Vlastní SSL/TLS je vybráno. Pokud je vybráno Custom a chcete, aby Cloudflare režim spravoval automaticky, vyberte Automatic SSL/TLS.

Testujte pomocí externích nástrojů

Použijte SSL Labs Server Test ↗ k ověření konfigurace HTTPS mimo síť Cloudflare. Zadejte doménu a prohlédněte si zprávu. Hodnocení A nebo A+ znamená, že vaše konfigurace TLS, řetězec certifikátů a podpora protokolů splňují aktuální bezpečnostní standardy.

Chcete-li otestovat podporované verze TLS, zkuste odeslat požadavek na svůj web nebo aplikaci s uvedením konkrétní verze TLS.

Pro otestování TLS 1.1 například použijte curl níže. Nahraďte www.example.com s vaší doménou a názvem hostitele v Cloudflare.

curl https://www.example.com -svo /dev/null --tls-max 1.1

Pokud je testovaná verze TLS blokována Cloudflare, handshake TLS se nedokončí a vrátí chybu:

* error:1400442E:SSL routines:CONNECT_CR_SRVR_HELLO:tlsv1 alert

SSL/TLS

Client-side security