Introdução
Assim como acontece no mundo real, a segurança no mundo digital é uma questão que precisa ser levada muito a sério. Exemplos de situações em que a negligência com aspectos de segurança ou mesmo os menores descuidos, podem significar ameaças reais a um grande número de pessoas e perdas financeiras severas, são diários.
Se os riscos presentes na Internet já não fossem razões suficientemente boas para dedicar atenção especial a tudo que representa a segurança de um site, um blog ou qualquer tipo de serviço baseado nela, há ainda a questão do posicionamento orgânico que é diretamente dependente do quão seguro ou inseguro é um site.
O Google cada vez mais tem considerado aspectos de segurança, entre os critérios de maior relevância para ranqueamento, somando-se aos já conhecidos fatores relacionados ao conteúdo do site e como ele é apresentado.
Nota-se isso até mesmo em seu navegador – o Google Chrome – que exibe um alerta quando há a tentativa de se efetuar um acesso a um site que apresente um problema de segurança, como phishing ou a simples ausência de um protocolo de segurança HTTP – o HTTPS (HyperText Transfer Protocol Secure).
Resumidamente, pode-se dizer que o HTTPS atua como primeira barreira de proteção de um site, atuando na troca de dados de um computador com um servidor, já que o HTTPS implica que a comunicação entre os dois pontos, é criptografada.
Atualmente não há mais desculpa para não ter um SSL instalado em um site, o que propicia que os acessos a quaisquer páginas de um blog ou quaisquer tipos de site que se tenha, seja feito por meio de HTTPS. Isso porque já há até mesmo SSLs grátis, como é o caso do Let’s Encrypt.
Mas mesmo que se siga as melhores práticas e se dê a devida importância à segurança, alguns detalhes podem passar desapercebidos. Uma prática aconselhável, é garantir que qualquer acesso a uma página web do seu site, blog ou loja virtual se dê sempre usando-se o HTTPS, presumindo naturalmente que você já tem um SSL instalado.
Pré-requisitos para forçar o HTTPS
O procedimento de forçar que o acesso a 100% das páginas do seu site ocorra usando protocolo seguro, ou seja, por meio do HTTPS, é simples, mas exige um requisito básico que todo administrador de site deve ter – acesso para leitura, escrita e gravação do arquivo .htaccess, contido na estrutura de pastas / diretórios do site.
Passos para configurar acesso ao https no .htaccess
O procedimento que descreveremos a seguir baseia-se no uso do FTP e de um editor de texto bastante simples e que não gere caracteres de controle, como é o caso do Notepad do Windows. Todavia, se você tem acesso a um editor no painel de controle da sua empresa de hospedagem, pelo qual pode editar diretamente o arquivo, também pode ser feito.
Seja em um caso, como no outro, recomenda-se que antes seja criado uma cópia do arquivo .htaccess original, o que torna o processo de reversão do procedimento e consequentemente de restabelecimento do site à sua condição original, caso se cometa algum erro de procedimento.
-
Uma vez que tenha se conectado ao FTP do site usando para isso o Filezilla, baixe o arquivo .htaccess;
-
Abra-o no Notepad ou outro editor de código, a fim de que não sejam gerados códigos indesejados por editores de texto avançados, como é o caso do Microsoft Word;
-
Coloque as três linhas abaixo no início do arquivo, presumindo que já existem outros conteúdos no .htaccess
-
RewriteEngine On
-
RewriteCond %{SERVER_PORT} 80
-
RewriteRule ^(.*)$ https://seudominio.com.br/$1 [R,L]
-
-
É uma boa prática iniciar e terminar as três linhas da configuração acima, com uma linha de comentário, indicando o início e o fim da rotina, com as informações a seguir, sem as aspas duplas - “# Forçar o HTTPS – início” e “# Forçar o HTTPS – fim”:
-
# Forçar o HTTPS – início
-
RewriteEngine On
-
RewriteCond %{SERVER_PORT} 80
-
RewriteRule ^(.*)$ https://seudominio.com.br/$1 [R,L]
-
# Forçar o HTTPS – fim
-
-
Salve o arquivo;
-
Pelo Filezilla, renomeie o .htaccess que ainda consta na public_html da sua conta ou na pasta em que ele estiver localizado. Ex: .htaccess_old;
-
Envie o arquivo editado para a public_html da sua conta ou na pasta em que ele estiver localizado.
Basicamente as três linhas que foram inseridas no .htaccess tem como única função assegurar que todo acesso realizado pela porta 80 – que costuma ser o padrão para o serviço de páginas em um servidor Linux – ocorra necessariamente usando o HTTPS e assim, melhorando a segurança dos dados trafegados.
Conclusão
A edição do arquivo .htaccess localizado na sua conta de hospedagem, com algumas simples instruções, é um modo eficiente de garantir que todo acesso feito pela porta 80 do servidor de hospedagem, seja necessariamente feito usando o HTTPS e dessa forma assegurando maior segurança no tráfego de dados entre visitantes e o servidor.