Bannissez les connexions non chiffrées : configurez une redirection permanente HTTP 301 vers HTTPS et activez l'en-tête de sécurité strict HSTS pour immuniser vos utilisateurs contre les attaques de dégradation de protocole (SSL Stripping).
Redirection permanente ordonnant aux moteurs de recherche et navigateurs d'utiliser HTTPS.
Strict-Transport-Security : interdit formellement au navigateur de retenter une connexion en HTTP.
Neutralise les attaques interceptant la requête avant la première redirection.
Configuration des paramètres de sécurité optimaux selon les standards de l'ANSSI.
# 1. Bloc de redirection universelle port 80 (HTTP) -> 443 (HTTPS)
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name _;
# Redirige toutes les requêtes HTTP vers l'équivalent HTTPS avec code 301
return 301 https://$host$request_uri;
}
# 2. Bloc HTTPS avec en-têtes de sécurité HSTS renforcés
server {
listen 443 ssl http2;
server_name mon-site.com www.mon-site.com;
ssl_certificate /etc/letsencrypt/live/mon-site.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/mon-site.com/privkey.pem;
# En-tête HSTS (Strict-Transport-Security) : 1 an de protection forcée
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
root /var/www/mon-site/dist;
index index.html;
}mon-site.com dans un bar Wi-Fi, son navigateur envoie d'abord une requête HTTP normale sur le port 80. Un pirate sur le même Wi-Fi peut intercepter cette première requête et répondre lui-même, empêchant la redirection vers HTTPS d'arriver au client. Strict-Transport-Security, dès la première visite, le navigateur enregistre une règle inviolable : "Même si l'internaute tape http://, je transformerai automatiquement l'URL en https:// en interne avant d'émettre le moindre paquet sur le réseau !". | Aspect Sécurité | Redirection 301 Simple | Redirection 301 + En-tête HSTS |
|---|---|---|
| Première visite | Requête initiale en clair sur port 80 | Requête initiale en clair sur port 80 |
| Visites ultérieures | Émet un appel HTTP 80 avant d'être redirigé | Appel converti en HTTPS 443 en local dans le navigateur |
| Protection contre SSL Stripping | Vulnérable aux attaques sur Wi-Fi public | Totalement immunisé |
| Éligibilité HSTS Preload | Non | Oui (soumission possible sur hstspreload.org) |