Comment forcer HTTPS à l'aide d'un fichier web.config

J'ai cherché dans Google et StackOverflow en essayant de trouver une solution à cela, mais ils semblent tous se rapporter à ASP.NET, etc.

J'utilise généralement Linux sur mes serveurs mais pour ce client, j'utilise Windows avec IIS 7.5 (et Plesk 10). C'est la raison pour laquelle je ne suis pas familier avec les fichiers IIS et web.config . Dans un .htaccessfichier, vous pouvez utiliser des conditions de réécriture pour détecter si le protocole est HTTPS et rediriger en conséquence. Existe-t-il un moyen simple d'y parvenir en utilisant un fichier web.config, ou même en utilisant le module ' URL Rewrite ' que j'ai installé?

Je n'ai aucune expérience avec ASP.NET, donc si cela est impliqué dans la solution, veuillez inclure des étapes claires de mise en œuvre.

La raison pour laquelle je fais cela avec le web.config et non PHP est que je voudrais forcer HTTPS sur tous les actifs du site.

Vous avez besoin du module de réécriture d'URL, de préférence v2 (je n'ai pas de v1 installé, donc je ne peux pas garantir qu'il fonctionnera là-bas, mais il devrait).

Voici un exemple d'un tel web.config - il forcera HTTPS pour TOUTES les ressources (en utilisant la redirection 301 permanente):

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <clear />
                <rule name="Redirect to https" stopProcessing="true">
                    <match url=".*" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" redirectType="Permanent" appendQueryString="false" />
                </rule>
            </rules>
        </rewrite>
    </system.webServer>
</configuration>

PS Cette solution particulière n'a rien à voir avec ASP.NET/PHP ou toute autre technologie car elle se fait uniquement à l'aide du module de réécriture d'URL - elle est traitée à l'un des niveaux initial / inférieur - avant que la demande n'arrive au point où votre code est exécuté.

Pour ceux qui utilisent ASP.NET MVC. Vous pouvez utiliser RequireHttpsAttribute pour forcer toutes les réponses à être HTTPS:

GlobalFilters.Filters.Add(new RequireHttpsAttribute());

Vous pourriez également vouloir faire d'autres choses pour sécuriser votre site:

1. Forcer les jetons anti-contrefaçon à utiliser SSL / TLS:

   AntiForgeryConfig.RequireSsl = true;

2. Exiger que les cookies nécessitent HTTPS par défaut en modifiant le fichier Web.config:

   <system.web>
       <httpCookies httpOnlyCookies="true" requireSSL="true" />
   </system.web>

3. Utilisez le package NWebSec.Owin NuGet et ajoutez la ligne de code suivante pour activer Strict Transport Security (HSTS) sur le site. N'oubliez pas d'ajouter la directive Preload ci-dessous et de soumettre votre site au site HSTS Preload . Plus d'informations ici et ici . Notez que si vous n'utilisez pas OWIN, il existe une méthode Web.config sur laquelle vous pouvez lire sur le site NWebSec .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHsts(options => options.MaxAge(days: 720).Preload());

4. Utilisez le package NWebSec.Owin NuGet et ajoutez la ligne de code suivante pour activer l'épinglage de clé publique (HPKP) sur le site. Plus d'informations ici et ici .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHpkp(options => options
       .Sha256Pins(
           "Base64 encoded SHA-256 hash of your first certificate e.g. cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs=",
           "Base64 encoded SHA-256 hash of your second backup certificate e.g. M8HztCzM3elUxkcjR2S5P4hhyBNf6lHkmjAHKhpGPWE=")
       .MaxAge(days: 30));

5. Incluez le schéma https dans toutes les URL utilisées. L' en-tête HTTP de la politique de sécurité du contenu (CSP) et l' intégrité des sous-ressources (SRI) ne fonctionnent pas bien lorsque vous imitez le schéma dans certains navigateurs. Il vaut mieux être explicite sur HTTPS. par exemple

   <script src="https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.4/bootstrap.min.js">
   </script>

6. Utilisez le modèle de projet ASP.NET MVC Boilerplate Visual Studio pour générer un projet avec tout cela et bien plus encore. Vous pouvez également afficher le code sur GitHub .

Pour augmenter la réponse de LazyOne, voici une version annotée de la réponse.

<rewrite>
  <rules>
     <clear />
     <rule name="Redirect all requests to https" stopProcessing="true">
       <match url="(.*)" />
         <conditions logicalGrouping="MatchAll">
           <add input="{HTTPS}" pattern="off" ignoreCase="true" />
         </conditions>
         <action 
            type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" 
            redirectType="Permanent" appendQueryString="false" />
     </rule>
  </rules>
</rewrite>

Effacez toutes les autres règles qui ont peut-être déjà été définies sur ce serveur. Créez une nouvelle règle, que nous nommerons "Rediriger toutes les demandes vers https". Après avoir traité cette règle, ne traitez plus de règles! Correspond à toutes les URL entrantes. Vérifiez ensuite si toutes ces autres conditions sont remplies: HTTPS est désactivé. Eh bien, ce n'est qu'une condition (mais assurez-vous que c'est vrai). Si c'est le cas, renvoyez une redirection 301 permanente au client à l'adresse http://www.foobar.com/whatever?else=the#url-contains. N'ajoutez pas la chaîne de requête à la fin de cela, car cela dupliquerait la chaîne de requête!

C'est ce que signifient les propriétés, les attributs et certaines des valeurs.

• clear supprime toutes les règles de serveur dont nous pourrions autrement hériter.
• règle définit une règle.
  • nommez un nom arbitraire (quoique unique) pour la règle.
  • stopProcessing si vous souhaitez transférer la demande immédiatement vers le pipeline de demandes IIS ou d'abord pour traiter des règles supplémentaires.
• correspond quand exécuter cette règle.
  • url un modèle par rapport auquel évaluer l'URL
• conditions conditions supplémentaires sur le moment d'exécuter cette règle; les conditions ne sont traitées que s'il y a d'abord une correspondance.
  • logicGrouping si toutes les conditions doivent être vraies ( MatchAll) ou l'une des conditions doit être vraie ( MatchAny); similaire à AND vs OR.
• add ajoute une condition qui doit être remplie.
  • saisir l'entrée qu'une condition évalue; l'entrée peut être des variables de serveur.
  • modèle la norme par rapport à laquelle évaluer l'entrée.
  • ignoreCase, que la capitalisation soit importante ou non.
• action quoi faire si le matchet son conditionssont tous vrais.
  • Le type peut généralement être redirect(côté client) ou rewrite(côté serveur).
  • url quoi produire à la suite de cette règle; dans ce cas, concaténer https://avec deux variables de serveur.
  • redirectTapez la redirection HTTP à utiliser; celui-ci est un 301 permanent.
  • appendQueryString s'il faut ou non ajouter la chaîne de requête à la fin de la résultante url; dans ce cas, nous la définissons sur false, car l' {REQUEST_URI}inclut déjà.

Les variables du serveur sont

• {HTTPS}qui est soit OFFou ON.
• {HTTP_HOST}est www.mysite.com, et
• {REQUEST_URI} inclut le reste de l'URI, par exemple /home?key=value
  • le navigateur gère le #fragment(voir le commentaire de LazyOne).

Voir également: https://www.iis.net/learn/extensions/url-rewrite-module/url-rewrite-module-configuration-reference

La réponse acceptée n'a pas fonctionné pour moi. J'ai suivi les étapes de ce blog .

Un point clé qui me manquait était que je devais télécharger et installer l'outil de réécriture d'URL pour IIS. Je l'ai trouvé ici . Le résultat était le suivant.

<rewrite>
        <rules>
            <remove name="Http to Https" />
            <rule name="Http to Https" enabled="true" patternSyntax="Wildcard" stopProcessing="true">
                <match url="*" />
                <conditions>
                    <add input="{HTTPS}" pattern="off" />
                </conditions>
                <serverVariables />
                <action type="Redirect" url="https://{HTTPS_HOST}{REQUEST_URI}" />
            </rule>
        </rules>
    </rewrite>

Dans .Net Core, suivez les instructions sur https://docs.microsoft.com/en-us/aspnet/core/security/enforcing-ssl

Dans votre startup.cs, ajoutez ce qui suit:

// Requires using Microsoft.AspNetCore.Mvc;
public void ConfigureServices(IServiceCollection services)
{
    services.Configure<MvcOptions>(options =>
    {
        options.Filters.Add(new RequireHttpsAttribute());
    });`enter code here`

Pour rediriger Http vers Https, ajoutez ce qui suit dans le startup.cs

// Requires using Microsoft.AspNetCore.Rewrite;
public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    loggerFactory.AddConsole(Configuration.GetSection("Logging"));
    loggerFactory.AddDebug();

    var options = new RewriteOptions()
       .AddRedirectToHttps();

    app.UseRewriter(options);

L'excellente bibliothèque NWebsec peut mettre à niveau vos demandes de HTTP vers HTTPS en utilisant sa upgrade-insecure-requestsbalise dans Web.config:

<nwebsec>
  <httpHeaderSecurityModule>
    <securityHttpHeaders>
      <content-Security-Policy enabled="true">
        <upgrade-insecure-requests enabled="true"  />
      </content-Security-Policy>
    </securityHttpHeaders>
  </httpHeaderSecurityModule>
</nwebsec>

Je n'étais pas autorisé à installer la réécriture d'URL dans mon environnement, j'ai donc trouvé un autre chemin.

L'ajout de cela à mon web.config a ajouté la réécriture d'erreur et a travaillé sur IIS 7.5:

<system.webServer>
    <httpErrors errorMode="Custom" defaultResponseMode="File" defaultPath="C:\WebSites\yoursite\" >    
    <remove statusCode="403" subStatusCode="4" />
    <error statusCode="403" subStatusCode="4" responseMode="File" path="redirectToHttps.html" />
</httpErrors>

Ensuite, en suivant les conseils ici: https://www.sslshopper.com/iis7-redirect-http-to-https.html

J'ai créé le fichier html qui fait la redirection (redirectToHttps.html):

<html>
<head><title>Redirecting...</title></head>
<script language="JavaScript">
function redirectHttpToHttps()
{
    var httpURL= window.location.hostname + window.location.pathname + window.location.search;
    var httpsURL= "https://" + httpURL;
    window.location = httpsURL;
}
redirectHttpToHttps();
</script>
<body>
</body>
</html>

J'espère que quelqu'un trouve cela utile car je n'ai pas pu trouver toutes les pièces au même endroit ailleurs.

Un moyen simple consiste à dire à IIS d'envoyer votre fichier d'erreur personnalisé pour les requêtes HTTP. Le fichier peut alors contenir une méta-redirection, une redirection JavaScript et des instructions avec lien, etc ... Surtout, vous pouvez toujours cocher "Exiger SSL" pour le site (ou dossier) et cela fonctionnera.

</configuration>
</system.webServer>
    <httpErrors>
        <clear/>
        <!--redirect if connected without SSL-->
        <error statusCode="403" subStatusCode="4" path="errors\403.4_requiressl.html" responseMode="File"/>
    </httpErrors>
</system.webServer>
</configuration>