Standardisation de l’en-tête de sécurité HSTS

FlexNet Manager Suite version 2020 R2

Conformément aux recommandations en vigueur en matière de sécurité pour les applications web, à compter de la version 2020 R2, le serveur de présentation de l’interface web de FlexNet Manager Suite émet l'en-tête de sécurité HSTS (HTTP Strict Transport Security). Cet en-tête indique à tous les navigateurs web clients d'appliquer le protocole HTTPS pour accéder au serveur de présentation.

Il est peu probable que vous remarquiez un changement immédiat avec l'en-tête HSTS en place :

• Si vous utilisez déjà le protocole HTTPS sécurisé pour accéder à votre serveur de présentation, cet accès se poursuivra sans aucune incidence.
• Si vous utilisez toujours le protocole HTTP standard pour accéder à l’interface web de FlexNet Manager Suite, cet accès se poursuivra également sans incidence. Le navigateur web client n'applique le protocole HTTPS qu'après avoir accédé au serveur de présentation via le protocole HTTPS sans aucune erreur de certificat.

Cette dernière méthode d'activation signifie qu'il est possible d'utiliser deux protocoles différents dans des environnements distincts. Par exemple :

• Vous pouvez appliquer les recommandations en matière de sécurité en exigeant que le protocole HTTPS accède au serveur de présentation dans votre environnement de production. Un navigateur web répondant à l'en-tête HSTS vous aide ici (par exemple, il corrige automatiquement l'URL du serveur si elle a été entrée par inadvertance avec le protocole HTTP, et envoie la requête en utilisant le protocole HTTPS).
• Il se peut également que vous disposiez d’une petite implémentation de test dans un réseau moins exposé, et dans laquelle vous avez toujours utilisé le protocole HTTP (et, bien évidemment, vous n'avez pas configuré de redirections 307 vers le protocole alternatif HTTPS). Le navigateur web client continue ici à fonctionner avec le protocole HTTP standard, car l’exigence du protocole HSTS n'a pas été déclenchée par un accès via le protocole HTTPS.

L'utilisation du protocole HTTPS (appliqué par la réponse de l'en-tête HSTS) signifie que tous les certificats de sécurité du serveur doivent être tenus à jour. En effet, en cas d'échec ultérieur du certificat, aucun accès alternatif au serveur n'est autorisé.