Exchange Server HSTSC Yapılandırması

RFC 6797‘de belirtilen HTTP Strict Transport Security (HSTS), bir sitenin kendisini güvenli bir istemci olarak ilan etmesine ve tarayıcılara yalnızca HTTPS bağlantıları üzerinden iletişim kurulması gerektiğini bildirmesine olanak tanımaktadır.

HSTS, HTTPS’yi zorlayan ve MiTM (ortadaki adam) saldırılarından gelen istekleri engellemek için kullanılmaktadır. Not: (Bu isteğe bağlı bir özelliktir.)

Bu yazımızda Exchange Server 2019 için HSTS yapılandırmasından bahsedeceğim.

HSTS, aslında Strict Transport Security ile HTTP header alanına iletilmektedir ve kullanıcının erişmek istediği sayfaya erişmesi gereken süreyi belirtmektedir. HSTS aynı zamanda HTTP isteklerini engellemektedir.

HSTS yapılandırmasını IIS (inetmgr) üzerinden yapmamız gerekmektedir.

Öncelikle Exchange Server sunucusu üzerinden Internet Information Services (IIS – inetmgr) açıyoruz.

Default Web Sites – HSTS adımlarını takip etmemiz gerekmektedir.

Edit Website HSTSC penceresinde; Enable- IncludeSubDomains-Preload-Redirect Http to Https seçeneklerini işaretlememiz gerekmektedir. Max-Age bölümüne ise; 31536000 değerini girmemiz gerekmektedir.

Bu işlemi Exchange Server 2016‘da yapmanız için HTTP Response Headers bölümünü kullanmanız gerekmektedir. HTTP Response Header bölümüne aşağıdaki değerleri eklemeniz yeterli olacaktır.

Name: Strict-Transport-Security

Value: max-age=31536000; includeSubDomains; preload

IIS 10.0 sürüm 1709’dan sonra HSTS desteklenmeye başladı. Detayları için aşağıdaki linki inceleyebilirsiniz;

IIS 10.0 Version 1709 HTTP Strict Transport Security (HSTS) Support | Microsoft Learn

Import-Module IISAdministration
Reset-IISServerManager -Confirm:$false
Start-IISCommitDelay

$sitesCollection = Get-IISConfigSection -SectionPath "system.applicationHost/sites" | Get-IISConfigCollection
$siteElement = Get-IISConfigCollectionElement -ConfigCollection $sitesCollection -ConfigAttribute @{"name"="Contoso"}
$hstsElement = Get-IISConfigElement -ConfigElement $siteElement -ChildElementName "hsts"
Set-IISConfigAttributeValue -ConfigElement $hstsElement -AttributeName "enabled" -AttributeValue $true
Set-IISConfigAttributeValue -ConfigElement $hstsElement -AttributeName "max-age" -AttributeValue 31536000
Set-IISConfigAttributeValue -ConfigElement $hstsElement -AttributeName "redirectHttpToHttps" -AttributeValue $true

Stop-IISCommitDelay
Remove-Module IISAdministration

Yapmış olduğumuz HSTS yapılandırmasını test etmek isterseniz aşağıdaki bağlantıyı kullanabilirsiniz;

SSL Server Test (Powered by Qualys SSL Labs)