Come forzare HTTPS utilizzando un file web.config

Ho cercato su Google e StackOverflow cercando di trovare una soluzione a questo, ma sembrano tutti correlati ad ASP.NET ecc.

Di solito eseguo Linux sui miei server ma per questo client sto usando Windows con IIS 7.5 (e Plesk 10). Questo è il motivo per cui non ho familiarità con i file IIS e web.config . In un .htaccessfile è possibile utilizzare le condizioni di riscrittura per rilevare se il protocollo è HTTPS e reindirizzare di conseguenza. Esiste un modo semplice per ottenere ciò utilizzando un file web.config o persino utilizzando il modulo " Riscrittura URL " che ho installato?

Non ho esperienza con ASP.NET, quindi se questo è coinvolto nella soluzione, si prega di includere passaggi chiari su come implementare.

Il motivo per cui lo faccio con web.config e non con PHP è che vorrei forzare HTTPS su tutte le risorse all'interno del sito.

È necessario il modulo di riscrittura URL, preferibilmente v2 (non ho installato v1, quindi non posso garantire che funzionerà lì, ma dovrebbe).

Ecco un esempio di tale web.config: imporrà HTTPS per TUTTE le risorse (usando 301 Permanent Redirect):

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <clear />
                <rule name="Redirect to https" stopProcessing="true">
                    <match url=".*" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" redirectType="Permanent" appendQueryString="false" />
                </rule>
            </rules>
        </rewrite>
    </system.webServer>
</configuration>

PS Questa particolare soluzione non ha nulla a che fare con ASP.NET/PHP o qualsiasi altra tecnologia poiché viene eseguita utilizzando solo il modulo di riscrittura degli URL - viene elaborata a uno dei livelli iniziale / inferiore - prima che la richiesta arrivi al punto in cui il codice viene eseguito.

Per coloro che utilizzano ASP.NET MVC. È possibile utilizzare RequireHttpsAttribute per forzare tutte le risposte a essere HTTPS:

GlobalFilters.Filters.Add(new RequireHttpsAttribute());

Altre cose che potresti voler fare anche per proteggere il tuo sito:

1. Forza token anti-contraffazione per utilizzare SSL / TLS:

   AntiForgeryConfig.RequireSsl = true;

2. Richiedi i cookie per richiedere HTTPS per impostazione predefinita modificando il file Web.config:

   <system.web>
       <httpCookies httpOnlyCookies="true" requireSSL="true" />
   </system.web>

3. Utilizzare il pacchetto NuGet NWebSec.Owin e aggiungere la seguente riga di codice per abilitare Strict Transport Security (HSTS) in tutto il sito. Non dimenticare di aggiungere la direttiva Preload di seguito e inviare il tuo sito al sito HSTS Preload . Maggiori informazioni qui e qui . Si noti che se non si utilizza OWIN, esiste un metodo Web.config che è possibile leggere sul sito NWebSec .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHsts(options => options.MaxAge(days: 720).Preload());

4. Utilizzare il pacchetto NuGet NWebSec.Owin e aggiungere la seguente riga di codice per abilitare Pinning chiave pubblica (HPKP) in tutto il sito. Maggiori informazioni qui e qui .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHpkp(options => options
       .Sha256Pins(
           "Base64 encoded SHA-256 hash of your first certificate e.g. cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs=",
           "Base64 encoded SHA-256 hash of your second backup certificate e.g. M8HztCzM3elUxkcjR2S5P4hhyBNf6lHkmjAHKhpGPWE=")
       .MaxAge(days: 30));

5. Includi lo schema https negli URL utilizzati. L' intestazione HTTP e l'Integrità delle risorse secondarie (SRI) di Content Security Policy (CSP) non funzionano bene quando si imita lo schema in alcuni browser. È meglio essere espliciti su HTTPS. per esempio

   <script src="https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.4/bootstrap.min.js">
   </script>

6. Utilizzare il modello di progetto ASP.NET MVC Boilerplate Visual Studio per generare un progetto con tutto questo e molto altro ancora incorporato. È inoltre possibile visualizzare il codice su GitHub .

Per aumentare la risposta di LazyOne, ecco una versione annotata della risposta.

<rewrite>
  <rules>
     <clear />
     <rule name="Redirect all requests to https" stopProcessing="true">
       <match url="(.*)" />
         <conditions logicalGrouping="MatchAll">
           <add input="{HTTPS}" pattern="off" ignoreCase="true" />
         </conditions>
         <action 
            type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" 
            redirectType="Permanent" appendQueryString="false" />
     </rule>
  </rules>
</rewrite>

Cancella tutte le altre regole che potrebbero essere già state definite su questo server. Crea una nuova regola, che chiameremo "Reindirizza tutte le richieste a https". Dopo aver elaborato questa regola, non elaborare più regole! Abbina tutti gli URL in arrivo. Quindi controlla se tutte queste altre condizioni sono vere: HTTPS è DISATTIVATO. Bene, questa è solo una condizione (ma assicurati che sia vera). In tal caso, inviare un reindirizzamento permanente 301 al client all'indirizzo http://www.foobar.com/whatever?else=the#url-contains. Non aggiungere la stringa di query alla fine, perché duplicerebbe la stringa di query!

Questo è ciò che significano le proprietà, gli attributi e alcuni dei valori.

• clear rimuove tutte le regole del server che altrimenti potremmo ereditare.
• regola definisce una regola.
  • nominare un nome arbitrario (sebbene univoco) per la regola.
  • stopProcessing se inoltrare immediatamente la richiesta alla pipeline di richieste IIS o prima elaborare ulteriori regole.
• abbina quando eseguire questa regola.
  • url uno schema in base al quale valutare l'URL
• condizioni condizioni aggiuntive su quando eseguire questa regola; le condizioni vengono elaborate solo se esiste prima una corrispondenza.
  • logicalGrouping se tutte le condizioni devono essere true ( MatchAll) o una qualsiasi delle condizioni deve essere true ( MatchAny); simile a AND vs OR.
• aggiungi aggiunge una condizione che deve essere soddisfatta.
  • inserire l'input che sta valutando una condizione; l'input può essere variabili del server.
  • tracciare lo standard rispetto al quale valutare l'input.
  • ignoreCase se le maiuscole sono importanti o meno.
• azione cosa fare se il matche il suo conditionssono tutti veri.
  • il tipo può essere generalmente redirect(lato client) o rewrite(lato server).
  • url cosa produrre a seguito di questa regola; in questo caso, concatenare https://con due variabili del server.
  • redirect Digita quale reindirizzamento HTTP utilizzare; questo è un 301 permanente.
  • appendQueryString se aggiungere o meno la stringa di query alla fine del risultante url; in questo caso, lo stiamo impostando su false, perché lo {REQUEST_URI}include già.

Le variabili del server sono

• {HTTPS}che è o OFFo ON.
• {HTTP_HOST}è www.mysite.come
• {REQUEST_URI} include il resto dell'URI, ad es /home?key=value
  • il browser gestisce il #fragment(vedi commento da LazyOne).

Vedi anche: https://www.iis.net/learn/extensions/url-rewrite-module/url-rewrite-module-configuration-reference

La risposta accettata non ha funzionato per me. Ho seguito i passaggi su questo blog .

Un punto chiave che mancava per me era che dovevo scaricare e installare l'URL Rewrite Tool per IIS. L'ho trovato qui . Il risultato è stato il seguente.

<rewrite>
        <rules>
            <remove name="Http to Https" />
            <rule name="Http to Https" enabled="true" patternSyntax="Wildcard" stopProcessing="true">
                <match url="*" />
                <conditions>
                    <add input="{HTTPS}" pattern="off" />
                </conditions>
                <serverVariables />
                <action type="Redirect" url="https://{HTTPS_HOST}{REQUEST_URI}" />
            </rule>
        </rules>
    </rewrite>

In .Net Core, seguire le istruzioni all'indirizzo https://docs.microsoft.com/en-us/aspnet/core/security/enforcing-ssl

Nel tuo startup.cs aggiungi quanto segue:

// Requires using Microsoft.AspNetCore.Mvc;
public void ConfigureServices(IServiceCollection services)
{
    services.Configure<MvcOptions>(options =>
    {
        options.Filters.Add(new RequireHttpsAttribute());
    });`enter code here`

Per reindirizzare Http su Https, aggiungere quanto segue in startup.cs

// Requires using Microsoft.AspNetCore.Rewrite;
public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    loggerFactory.AddConsole(Configuration.GetSection("Logging"));
    loggerFactory.AddDebug();

    var options = new RewriteOptions()
       .AddRedirectToHttps();

    app.UseRewriter(options);

L'eccellente libreria NWebsec può aggiornare le tue richieste da HTTP a HTTPS usando il suo upgrade-insecure-requeststag all'interno di Web.config:

<nwebsec>
  <httpHeaderSecurityModule>
    <securityHttpHeaders>
      <content-Security-Policy enabled="true">
        <upgrade-insecure-requests enabled="true"  />
      </content-Security-Policy>
    </securityHttpHeaders>
  </httpHeaderSecurityModule>
</nwebsec>

Non mi era permesso installare URL Rewrite nel mio ambiente, quindi ho trovato un altro percorso.

L'aggiunta di questo al mio web.config ha aggiunto l'errore riscrivere e ha funzionato su IIS 7.5:

<system.webServer>
    <httpErrors errorMode="Custom" defaultResponseMode="File" defaultPath="C:\WebSites\yoursite\" >    
    <remove statusCode="403" subStatusCode="4" />
    <error statusCode="403" subStatusCode="4" responseMode="File" path="redirectToHttps.html" />
</httpErrors>

Quindi, seguendo i consigli qui: https://www.sslshopper.com/iis7-redirect-http-to-https.html

Ho creato il file html che esegue il reindirizzamento (redirectToHttps.html):

<html>
<head><title>Redirecting...</title></head>
<script language="JavaScript">
function redirectHttpToHttps()
{
    var httpURL= window.location.hostname + window.location.pathname + window.location.search;
    var httpsURL= "https://" + httpURL;
    window.location = httpsURL;
}
redirectHttpToHttps();
</script>
<body>
</body>
</html>

Spero che qualcuno lo trovi utile perché non sono riuscito a trovare tutti i pezzi in un posto altrove.

Un modo semplice è dire a IIS di inviare il file di errore personalizzato per le richieste HTTP. Il file può quindi contenere un meta reindirizzamento, un reindirizzamento JavaScript e istruzioni con collegamento, ecc. È importante sottolineare che è ancora possibile controllare "Richiedi SSL" per il sito (o la cartella) e funzionerà.

</configuration>
</system.webServer>
    <httpErrors>
        <clear/>
        <!--redirect if connected without SSL-->
        <error statusCode="403" subStatusCode="4" path="errors\403.4_requiressl.html" responseMode="File"/>
    </httpErrors>
</system.webServer>
</configuration>