Pentru activarea server-side sunt necesare directive speciale care contin hash-uri de chei publice continute de certificatele furnizate de server printr-un mesaj returnat de certificat.
Cand browser-ul care suporta HPKP primeste un astfel de header, acesta valideaza acei pini comparandu-i cu chain-ul certificatului. Daca validarea a fost facuta cu succes, site-ul se va asocia
cu pini /header-ul primit. Din acel moment conexiune rezultata va trebui sa duca la o eroare non-recoverable in cazul unei erori de validare a pinilor dintr-o conexiune ulterioara.
- Deschideti IIS Manager-ul si selectati website-ul pentru care doriti aplicarea HPKP
- Dublu click pe HTTP Response Headers
- Click pe Add in partea dreapta a meniului Actions
- Accesati Public-Key-Pins in campul "Name"
- Calculati SPKI digest utilizand functia SHA-256 din Openssl sau folosing un calculator online
- Adaugati string-ul in campul Value ca si valoarea de mai jos :
- - este necesar sa inlocuit SPKI_digest#1- cu pin-ul SKPI calculat utilizand SHA-256 cu unul trimis de certificatulul de pe server, trimis utilizand SSL/TLS
- - este necesar sa inlocuiti SPKI_digest#2 - cu pin-ul SKPI calculat utilizand SHA-256 cu unul al certificatului din backup certificate chains.
- Pin-ul de backup este obligatoriu.
- Directiva privind max-age pecificat timpul (în secunde) in timpul caruia, dupa receptia campului de antet HPKP, o aplicatie client trateaza host-ul (de la care mesajul a fost primit) ca un host HPKP cunoscut. Cu alte cuvine, este timpul ca un browser sa pastreze cookie-urile "HPKP" si să efectueze validarea HPKP folosind pini primiti initial in antet.
7.Optional puteti adauga includeSubDomains in campul Value in cazul in care doriti aplicarea politicii HPKP pentru subdomeniile domeniului dvs.
In cazul in care doriti aplicarea acestei setari trebuie sa adaugati directiva includeSubDomains la sfarsitul string-ului si sa o demilitati cu o semicoloana.
ex: pin-sha256="klO23nT2ehFDXCfx3eHTDRESMz3asj1muO+4aIdjiuY="; pin-sha256="kb6xLprt35abNnSn74my4Dkfya9arbk5zN5a60YzuqE="; max-age=31536000; includeSubDomains
8.Click apoi pe OK.
