Configuración de seguridad HTTP

Solo 'cookies' seguras

Si el servidor solo acepta conexiones https, se recomienda habilitar el envío de cookies seguras. Si la opción está habilitada, por favor, asegúrate de que el servidor web no esté aceptando http://, o configura una redirección permanente a la dirección https://. Cuando la dirección wwwroot no comienza con https:// esta configuración será ignorada.

-

Solo 'cookies' http

Habilita la característica PHP 5.2.0. Los navegadores tienen instrucciones de enviar cookies solo con solicitudes http reales. Las cookies no deben ser accesibles a través de lenguajes de secuencias de comandos. No todos los navegadores pueden ejecutar esta opción, y podría no ser totalmente compatible con el código actual. Ayuda a prevenir algunos tipos de ataques XSS.

-

Seguridad de transporte estricta HTTP (HSTS)

Cuando se habilitan los navegadores habilitados, siempre se debe usar el protocolo https: // al acceder al servidor y los usuarios no pueden ignorar las advertencias de negociación de SSL.

Ten en cuenta que si los navegadores estan habilitados recordarán esta configuración durante seis meses e impedirán el acceso a través de http: // incluso si esta configuración se desactiva más tarde.

Referencias seguras

Cuando se habilitan los navegadores habilitados, siempre se debe usar el protocolo https: // al acceder al servidor y los usuarios no pueden ignorar las advertencias de negociación de SSL.

Ten en cuenta que si se habilita esta opción, los navegadores recordarán esta configuración durante seis meses y evitarán el acceso a través http://, de incluso si esta configuración se deshabilita más adelante. Seguridad de transporte estricta HTTP (HSTS)

Permitir incrustación de marco

Permitir la incrustación de este sitio en marcos en sitios externos. No se recomienda habilitar esta función por razones de seguridad.

-

Dominio cruzado permitido

Permitir la incrustación de este sitio en marcos en sitios externos. No se recomienda habilitar esta función por razones de seguridad.

Las opciones disponibles son las siguientes:

• Valor predeterminado: Significa que no se aplican reglas a través de la configuración del sitio y que el cliente web solo usa la configuración predeterminada que podría estar configurada fuera del sitio.
• ninguno: los navegadores reciben instrucciones para evitar la incrustación de contenido de este servidor en archivos externos Flash o PDF.
• maestro solamente: las políticas se pueden definir en el archivo crossdomain.xml principal.

-

Lista de puertos cURL bloqueados

Pon cada entrada en una nueva línea. Las entradas válidas son:

• Direcciones IPv4 o IPv6 completas (como 192.168.10.1, 0:0:0:0:0:0:0:1, ::1, fe80::) que coinciden con un solo host
• Notación CIDR (como 231.54.211.0/20 o fe80::/64)
• Un rango de direcciones IP (como 231.3.56.10-20 o fe80::1111-bbbb) donde el rango se aplica al último grupo de la dirección
• Nombres de dominio (como localhost o example.com)
• Nombres de dominio comodín (como *.example.com o *.sub.example.com)

No se permiten líneas en blanco.

-

Lista de puertos cURL autorizados

Listado de número de puertos a los que cURL puede conectarse. Las entradas válidas son únicamente números enteros. Pon cada entrada en una nueva línea. Si se deja vacío, todos los puertos están permitidos. Si está especificado, en la mayoría de casos, tanto el puerto 443 como el 80 deberían estar especificados para cURL para conectar a los puertos estándar de HTTPS y HTTP.

-