Sécurité des réseaux

IBM applique le protocole Strict-Transport-Security ( HSTS ) à toutes IBM® Verify les requêtes.

HSTS renforce la sécurité en exigeant que toutes les connexions via le navigateur utilisent HTTPS plutôt que HTTP.

HSTS indique au navigateur d'utiliser HTTPS lorsqu'il envoie des requêtes à Verify. VerifyLe navigateur conserve cette instruction pendant la durée que vous avez définie; ainsi, lors de la prochaine visite de l'utilisateur, son navigateur utilisera HTTPS.

HSTS fonctionne grâce à l'en-tête de réponse « Strict-Transport-Security ». Lorsqu'un navigateur reçoit cet en-tête, il empêche toute communication via HTTP vers le domaine indiqué et achemine toutes les communications via HTTPS à la place. Les liens non sécurisés de type HTTP sont convertis en liens sécurisés de type HTTPS. Par exemple, http://example.com/some/page/ est converti en https://example.com/some/page/ avant d'accéder au serveur. Si la sécurité de la connexion ne peut être garantie (par exemple, si le certificat TLS du serveur n'est pas approuvé), l'utilisateur voit un message d'erreur et ne peut pas accéder au service. Verify.

IBM utilise HTTP Strict Transport Security ( HSTS ) avec les paramètres suivants.

Max age: 1 year
Include subdomains: YES
Preload: YES

Remarque : la directive « preload » n'est disponible que pour les noms d'hôte personnalisés. Cette directive ajoute le domaine à la liste de préchargement du navigateur, qui est intégrée par défaut dans Google Chrome et dans d'autres navigateurs dont les listes de préchargement s'inspirent de celle de Chrome. Vous devez encore enregistrer le nom de domaine sur hstspreload.org. La présence de votre domaine dans la liste de préchargement signifie que le navigateur se connecte via HTTPS dès la première tentative, ce qui offre une protection contre les attaques de type « bootstrap man-in-the-middle ». Si votre domaine ne figure pas dans la liste de préchargement, la connexion initiale depuis un navigateur s'effectue via HTTP. Verify puis envoie l'en-tête « HSTS » au navigateur et oblige ce dernier à se connecter via HTTPS.