Sécurisez vos cookies

Dans settings.py mettez les lignes

  SESSION_COOKIE_SECURE = TrueCSRF_COOKIE_SECURE = True  

et les cookies ne seront envoyés que via des connexions HTTPS. De plus, vous voulez probablement aussi SESSION_EXPIRE_AT_BROWSER_CLOSE = True . Notez que si vous utilisez des versions plus anciennes de django (inférieures à 1.4), il n'y a pas de paramètre pour les cookies CSRF sécurisés. En guise de solution rapide, vous pouvez simplement sécuriser le cookie CSRF lorsque le cookie de session est sécurisé ( SESSION_COOKIE_SECURE = True ), en éditant django / middleware / csrf.py :

  classe CsrfViewMiddleware (objet): ... def process_response (self, request, response): ... response.set_cookie (settings.CSRF_COOKIE_NAME, request.META ["CSRF_COOKIE"], max_age = 60 * 60 * 24 * 7 * 52, domain = settings.CSRF_COOKIE_DOMAIN, secure = settings.SESSION_COOKIE_SECURE ou None)  

Diriger les requêtes HTTP vers HTTPS dans le serveur Web

Ensuite, vous voulez une règle de réécriture qui redirige les requêtes http vers https, par exemple dans nginx

  server {listen 80; réécrire ^ (. *) https: // $ host $ 1 permanent;}  

La fonction reverse de Django et les balises de modèle d'url ne renvoient que des liens relatifs; donc si vous êtes sur une page https, vos liens vous garderont sur le site https.

Définissez la variable d'environnement HTTPS du système d'exploitation sur on

Enfin, (et ma réponse d'origine excluait cela), vous devez activer la variable d'environnement OS HTTPS sur 'on' afin que django ajoute https aux liens entièrement générés (par exemple, comme avec HttpRedirectRequest s ). Si vous utilisez mod_wsgi, vous pouvez ajouter la ligne:

  os.environ ['HTTPS'] = "on"  

à votre script wsgi. Si vous utilisez uwsgi, vous pouvez ajouter une variable d'environnement par le commutateur de ligne de commande --env HTTPS = on ou en ajoutant la ligne env = HTTPS = on à votre uwsgi Fichier .ini . En dernier recours, si rien d'autre ne fonctionne, vous pouvez modifier votre fichier de paramètres pour avoir les lignes import os et os.environ ['HTTPS'] = "on" , qui devrait également fonctionner.

Si vous utilisez wsgi, vous pouvez également définir la variable d'environnement wsgi.url_scheme sur 'https' en ajoutant ceci à votre settings.py :

  os.environ ['wsgi.url_scheme'] = 'https'  

Le wsgi conseil grâce au commentaire de Vijayendra Bapte.

Vous pouvez voir la nécessité de cette variable d'environnement en lisant django / http / __ init__.py :

  def build_absolute_uri (self, location = None): "" "Construit un URI absolu à partir de l'emplacement et des variables disponibles dans cette requête. Si aucun emplacement n'est spécifié, l'URI absolu est construit sur` `request .get_full_path () ``. "" "sinon location: location = self.get_full_path () sinon absolu_http_url_re.match (location): current_uri = ' % s: //% s% s '% (self.is_secure () et' https 'ou' http ', self.get_host (), self.path) location = urljoin (current_uri, location) return iri_to_uri (location) def is_secure (self): return os.environ.get ("HTTPS") == "on"  

Autres éléments du serveur Web:

Prenez celui de ce type conseil et activez les en-têtes HSTS sur votre serveur Web en ajoutant une ligne à nginx:

  add_header Strict-Transport-Security max-age = 31536000;  

Cela indique à votre navigateur Web que votre site Web pour les 10 prochaines années utilisera uniquement HTTPS. S'il y a une attaque Man-in-the-middle lors d'une prochaine visite à partir du même navigateur (par exemple, vous vous connectez à un routeur malveillant dans un café qui vous redirige vers une version HTTP de la page), votre navigateur se souviendra il est censé être uniquement HTTPS et vous empêche de divulguer vos informations par inadvertance. Mais soyez prudent à ce sujet, vous ne pouvez pas changer d'avis et décider plus tard qu'une partie de votre domaine sera servie via HTTP (jusqu'à ce que les 10 ans se soient écoulés depuis la suppression de cette ligne). Alors planifiez à l'avance; Par exemple, si vous pensez que votre application pourrait bientôt gagner en popularité et que vous devrez être sur un gros CDN qui ne gère pas bien HTTPS à un prix abordable, vous pourriez avoir un problème.

Assurez-vous également de désactiver les protocoles faibles. Soumettez votre domaine à un test SSL pour vérifier les problèmes potentiels (clé trop courte, ne pas utiliser TLSv1.2, utiliser des protocoles défectueux, etc.). Par exemple, dans nginx, j'utilise:

  ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_prefer_server_ciphers on; ssl_ciphers "EECDH + ECDSA + AESGCM EECDH + aRSA + AESGCM EECD SHA + ECDH SHA256 EECDH + aRSA + SHA384 EECDH + aRSA + SHA256 EECDH + aRSA + RC4 EECDH EDH + aRSA RC4! ANULL! ENULL! LOW! 3DES! MD5! EXP! PSK! SRP! DSS ";  

La redirection de n'importe quelle page http: // vers la page https: // correspondante n'est pas la bonne approche.Configurez nginx pour rediriger le port 80 vers https: //yourdomain.ext/

  serveur {écoute 80; réécrire ^ /? https: // $ hôte / permanent; }  

ou similaire (consultez le prochain manuel nginx près de chez vous) et n'exécutez pas du tout votre application sur le port 80 (http). Ainsi, d'autres requêtes sur le port 80 se résolvent en 404 ou similaire (personnalisez-le, en disant que votre application est désormais sécurisée et ne fonctionne que sur https avec un lien pointant vers https: //yourdomain.ext/) . Exécutez ensuite votre application uniquement sur le port d'écoute 443 (https). L'utilisation de chemins relatifs dans votre code est désormais sécurisée, car ils se résolvent tous vers le chemin complet https: // et vous évitez le rebond de http vers https!

Une configuration courante vous permettra de transférer le trafic https de votre serveur Web (c'est-à-dire Nginx) vers un serveur http local exécutant l'application Django.

Dans ce cas, il sera plus facile d'utiliser le SECURE_PROXY_SSL_HEADER paramètre (disponible depuis Django 1.4.)

https://docs.djangoproject.com/en/dev/ref/settings/#std:setting-SECURE_PROXY_SSL_HEADER

vous devez en outre envoyer un HSTS-Header depuis nginx, indiquant aux clients (navigateurs) qu'ils utiliseront uniquement HTTPS

  add_header Strict-Transport-Security max -age = 31536000;  

Je pense que vous recherchez un middleware Django qui réécrira http en https . Quelque chose de similaire à ce qui est abordé dans cette question sur SO, où une réponse pointe vers ce middleware. Vous devrez probablement écrire votre propre middleware, mais cela devrait être simple. (Une question bien ciblée sur le SO vous orientera dans la bonne direction si vous avez besoin d'aide pour commencer.)

Dans la plupart des cas, vous pouvez configurer Apache ou quelque chose pour rediriger vers https, comme décrit dans la réponse acceptée. Et si vous le pouvez, ce serait mieux, pour les performances et pour les fichiers servis en dehors de Django.

Mais si vous ne pouvez pas, ou voulez faire du débogage, alors je voudrais souligner que Django récemment (1.8) a introduit un SecurityMiddleware qui a des redirections https comme l'une de ses nombreuses fonctions.

Plus d'informations sont disponibles dans la documentation. En gros, ajoutez django.middleware.security.SecurityMiddleware et définissez SECURE_SSL_REDIRECT = True .

(L'en-tête mentionné par la réponse acceptée peut également être défini par ce middleware.)

Vous devez configurer django pour générer des liens

1. https: // domaine / chemin avec le schéma https: ,
2. // domaine / chemin liens sans schéma (le navigateur les interprétera comme ayant le même schéma que la page sur laquelle il est actuellement ouvert), ou
3. Liens / path sans schéma ni domaine (le navigateur les interprétera comme ayant le même schéma et le même domaine que la page vers laquelle il pointe actuellement).