Hướng dẫn thiết lập HSTS Header trên CyberPanel chỉ với 4 bước

Tóm tắt những điểm cần lưu ý

• Hiểu HSTS là gì và lý do nên cấu hình để bảo vệ người dùng khỏi truy cập không an toàn.

• Thực hiện 4 bước nhanh chóng để thêm HSTS Header vào file cấu hình vHost trên CyberPanel.

HSTS là gì và vì sao nên cấu hình?

HSTS (HTTP Strict Transport Security) là một giao thức bảo mật được thiết kế để buộc trình duyệt luôn kết nối tới website qua giao thức HTTPS thay vì HTTP không mã hóa.

Khi được cấu hình đúng, HSTS giúp:

• Ngăn chặn chuyển hướng HTTP: Tránh bị ép sử dụng kết nối không an toàn.

• Chặn chứng chỉ giả mạo: Từ chối các chứng chỉ SSL/TLS không hợp lệ.

• Bảo vệ người dùng: Giảm thiểu rủi ro từ các cuộc tấn công trung gian (MITM), nâng cao mức độ bảo mật website.

4 bước thiết lập HSTS Header bằng CyberPanel

• Bước 1: Đăng nhập vào CyberPanel

• Bước 2: Truy cập Website Manager

• Bước 3: Thêm HSTS Header vào cấu hình vHost

• Bước 4: Kiểm tra và xác minh cấu hình

Bước 1: Đăng nhập vào CyberPanel

Truy cập CyberPanel bằng thông tin quản trị đã được cung cấp. Sau khi đăng nhập thành công, bạn sẽ thấy giao diện quản trị chính của CyberPanel.

Bước 2: Truy cập Website Manager

• Trên menu bên trái, chọn Websites → List Websites.

• Tìm website bạn muốn cấu hình, sau đó nhấn Manage để truy cập phần quản lý chi tiết.

Bước 3: Thêm HSTS Header vào cấu hình vHost

• Trong phần Website Manager, chọn vHost Conf để chỉnh sửa cấu hình máy chủ ảo.

• Kéo xuống cuối file, thêm đoạn mã sau vào phần context / {} rồi nhấn Save:

context / {

  allowBrowse 1

  extraHeaders Strict-Transport-Security "max-age=15552000; includeSubDomains; preload"

  rewrite { }

  addDefaultCharset off

  phpIniOverride { }

}

Giải thích các tham số:

• max-age=15552000: Thời gian trình duyệt lưu lại chính sách HSTS (khoảng 180 ngày).

• includeSubDomains: Áp dụng cho toàn bộ subdomain của website.

• preload: Cho phép đăng ký website vào danh sách HSTS preload của các trình duyệt lớn như Chrome.

Bước 4: Kiểm tra và xác minh cấu hình HSTS

• Mở website trên trình duyệt bất kỳ.

• Nhấn F12 để bật Developer Tools → vào tab Network.

• Tải lại trang và chọn một yêu cầu liên quan đến domain của bạn.

• Trong tab Headers, bạn sẽ thấy trường Strict-Transport-Security đã được thêm vào phần Response Headers, chứng tỏ cấu hình đã hoạt động.