Обязательное использование соединений только по протоколу HTTPS.

Даже если для веб-протокола вашего сайта ArcGIS Server установлено Только HTTPS, он всё равно потенциально уязвим для класса атак безопасности, известных как SSL-удаление. Такой тип атак использует отсутствие коммуникации сайта с браузерами ваших пользователей, заставляя их использовать только HTTPS-запросы. Если злоумышленник запускает поддельную копию вашего сайта ArcGIS Server на порте 80 и перехватывает первоначальный HTTP-запрос из браузера пользователя, он потенциально может получить от пользователя компрометирующую информацию о безопасности.

Чтобы закрыть эту уязвимость перед атаками с удалением SSL, протокол HTTP Strict Transport Security (HSTS) настраивает ваш сайт так, чтобы эта коммуникация возвращалась в веб-браузеры пользователей. HSTS можно включить на сайте ArcGIS Server.

Включение HSTS на вашем сайте

Строка настройки безопасности в ArcGIS Server Administrator Directory сайта содержит булево свойство HSTSEnabled, которое по умолчанию установлено на false . Когда это свойство обновляется до true, сайт ArcGIS Server сообщает веб-браузерам отправлять запросы только с помощью защищённого HTTPS. Это делается с помощью заголовка, Strict-Transport-Security, который направляет браузер использовать только HTTPS-запросы в течение следующего периода времени, заданного его свойством max-age (которое задается в секундах). Этот срок установлен на один год: Strict-Transport-Security: max-age=31536000.

Внимание:

Если ваши пользователи получают доступ к вашему сайту ArcGIS Server через ArcGIS Web Adaptor или сервер обратного прокси, применение HSTS на вашем сайте может иметь непредвиденные последствия. В соответствии с заголовком, отправленным протоколом HSTS, веб-браузеры пользователей будут отправлять только HTTPS-запросы на эти устройства; если веб-сервер, размещённый вашим ArcGIS Web Adaptor или сервер обратного прокси, одновременно размещает другие приложения, не использующие HTTPS, пользователи не смогут получить доступ к этим другим приложениям. Убедитесь, что эти зависимости не существуют, прежде чем включить HSTS.

Чтобы включить HSTS на вашем сайте ArcGIS Server, выполните следующие действия.

1. Войдите в ArcGIS Server Administrator Directory по адресу https://gisserver.example.com:6443/arcgis/admin.

2. Просмотрите Безопасность > настройки > обновить.

3. Если параметр Протокол ещё не установлен на Только HTTPS, установите его сейчас.

4. Когда HTTP-связь отключается протоколом сайта, будет доступна опция HTTP Strict Transport Security (HSTS) включен. Поставьте отметку, чтобы включить HSTS, и нажмите Обновить.

5. После перезапуска сайта сервера он начинает возвращать заголовок Strict-Transport-Security всем веб-браузерам, отправляющим запросы на сайт.

HTTP Strict Transport Security также может быть включена в ArcGIS Enterprise.