SSL/TLS

La configuración de SSL/TLS se encuentra en la pestaña SSL/TLS de la página de detalles de un sitio (/cdn/domains/<domain>/ssl). HTTPS en la CDN implica dos conexiones:

• Visitante ↔ nodo perimetral: usa el certificado perimetral implementado para cada nombre de host. Puede ser un certificado automático gratuito o uno que usted cargue.
• Nodo perimetral ↔ origen: el modo de cifrado y el protocolo de origen del nombre de host determinan si esta conexión se cifra y si se valida el certificado de origen.

#Implementar certificados perimetrales

La tabla Gestión de certificados edge muestra todos los nombres de host del sitio con su estado SSL, emisor y fecha de vencimiento. Haga clic en Gestionar certificados para abrir el cuadro de diálogo del certificado. Hay tres formas de añadir un certificado.

#Opción 1: Certificado automático gratuito (Let's Encrypt)

1. Asegúrese de que el DNS del nombre de host ya apunte a la CDN, mediante CNAME o la configuración de servidores de nombres. La validación usa HTTP-01, por lo que el nodo perimetral debe poder responder a la solicitud de validación de Let's Encrypt.
2. En la pestaña Certificado automático, haga clic en Verificación HTTP-01.
3. El cuadro de diálogo muestra el progreso en tres etapas: Pendiente de procesamiento, Verificando dominio, Emitiendo certificado. Al finalizar, el estado cambia a Emitido. Si falla, aparece Error al solicitar el certificado con el motivo.

Los certificados automáticos tienen una validez de 90 días. Se renuevan y se vuelven a implementar automáticamente en los nodos perimetrales antes de vencer, por lo que no tiene que hacer nada. Una vez que existe un certificado, el botón muestra Renovar certificado, que puede usar para renovarlo antes de tiempo.

#Opción 2: Cargar un certificado personalizado

1. Cambie a la pestaña Certificado personalizado.
2. Pegue el certificado en Certificado (formato PEM). Incluya la cadena completa: primero el certificado del servidor y, después, los intermedios.
3. Pegue la clave privada correspondiente en Clave privada (formato PEM).
4. Haga clic en Subir certificado. El estado cambia a Certificado personalizado.

Los certificados personalizados no se renuevan automáticamente. Cargue uno nuevo antes de que venza el actual.

#Opción 3: Implementar desde la biblioteca de certificados

Si compró o almacenó certificados en el servicio de certificados SSL de Yeap Cloud, puede elegir uno en la pestaña Carpeta de certificados. Esta muestra los certificados que coinciden con el nombre de host, incluidos los certificados con comodín que lo cubren. Seleccione uno para implementarlo.

#Modo de cifrado (del nodo perimetral al origen)

En la tarjeta Modo de cifrado SSL/TLS, elija un modo y haga clic en Guardar:

Cómo interactúa el modo con otros ajustes:

• La tabla se aplica a los nombres de host cuyo protocolo de origen es Automático. Si establece explícitamente el protocolo de origen en HTTP o HTTPS en la pestaña Origen, prevalece ese protocolo. El modo Completo (estricto) solo valida el certificado cuando el nodo perimetral se conecta al origen por HTTPS.
• La posibilidad de que los visitantes accedan al nodo perimetral por HTTPS depende únicamente de que el nombre de host tenga un certificado perimetral. El modo de cifrado no la modifica.
• Al cambiar a Desactivado o Flexible, se solicita confirmación porque el tráfico entre el nodo perimetral y su origen dejará de estar cifrado.
• En el modo Completo (estricto), las solicitudes al origen fallan si el certificado de origen no es válido, ha vencido o no coincide con el dominio.
• HTTP/2 hacia el origen requiere una conexión HTTPS con el origen, por lo que en los modos Desactivado y Flexible el nodo perimetral utiliza HTTP/1.1.

#Forzar HTTPS

Active Forzar HTTPS en la tarjeta Configuración de HTTPS para redirigir cada solicitud HTTP a la misma URL por HTTPS con un 301. Esto controla cómo se conectan los visitantes. No cambia el protocolo de origen.

Antes de activarlo, asegúrese de que todos los nombres de host del sitio tengan un certificado perimetral válido. De lo contrario, los visitantes verán errores de certificado.

#HSTS y encabezados de seguridad

El nodo perimetral añade los ajustes de la tarjeta HSTS y cabeceras de respuesta de seguridad a las respuestas enviadas a los visitantes. Después de modificarlos, haga clic en Guardar en la esquina superior derecha de la tarjeta.

#HSTS (HTTP Strict Transport Security)

#Otros encabezados de seguridad

• X-Frame-Options: SAMEORIGIN o DENY, para evitar el secuestro de clics.
• Referrer-Policy: elija una política de la lista.
• X-Content-Type-Options: nosniff: impide que los navegadores infieran el tipo MIME.
• Content-Security-Policy (CSP): introduzca una política completa. Déjelo vacío para no enviar ningún encabezado CSP.

Estos cuatro encabezados solo surten efecto cuando el interruptor Encabezados de seguridad de respuesta está activado.

#CORS y encabezados personalizados

• CORS (uso compartido de recursos entre orígenes) permite establecer:

  • Orígenes permitidos, uno por línea, con * para indicar cualquier origen
  • Métodos permitidos
  • Encabezados de solicitud permitidos
  • Encabezados de respuesta expuestos
  • Si se permiten credenciales
  • El max-age de la comprobación previa

  No se pueden permitir credenciales junto con el origen *.

• Encabezados de respuesta personalizados: set reemplaza un encabezado del mismo nombre, add añade un valor (se puede repetir) y remove elimina un encabezado, como X-Powered-By.

#Certificados Origin CA

La plataforma emite los certificados Origin CA, que se instalan en su servidor de origen para cifrar la conexión entre el nodo perimetral y el origen. Solo Yeap Cloud CDN los utiliza y los navegadores no confían en ellos, por lo que nunca debe usarlos como certificados para los visitantes.

Para emitir uno:

1. En la tarjeta Certificado Origin CA, haga clic en Emitir certificado.
2. Complete el cuadro de diálogo:
   • Dominio (SANs): los valores predeterminados son example.com y *.example.com.
   • Tipo de clave: ECC P-256 (recomendado), RSA 2048 o RSA 4096.
   • Validez: de 7 días a 15 años. El valor predeterminado es 15 años.
3. Copie y guarde el certificado y la clave privada de inmediato. La clave privada solo se muestra una vez. No podrá volver a verla después de cerrar el cuadro de diálogo.
4. Instale el certificado y la clave en el servidor web de su origen.
5. Establezca el modo de cifrado del sitio en Completo.

Si necesita la cadena de la CA en el origen, haga clic en Descargar certificado raíz de CA. En la lista de certificados puede verlos, revocarlos y eliminarlos.

#Contenido relacionado

• Nombres de host y protocolo de origen: Añadir un sitio
• Anular las redirecciones HTTPS o el cifrado hacia el origen para rutas específicas: Reglas de página