¿Qué necesito saber sobre Solo HTTPS y ArcGIS?

Respuesta

Nota: Este es un documento vivo y la información de esta página se actualiza periódicamente a medida que desplegamos este cambio.

¿Qué es HTTPS?

HTTPS es la abreviatura de Protocolo de transferencia de hipertexto para una comunicación segura. Este protocolo permite una transmisión segura de datos entrantes y salientes entre un cliente, como un navegador web, y el servidor. El uso de HTTPS con HTTP/2 mejora el rendimiento. HTTPS/2 es una revisión principal del protocolo HTTP. La clasificación de la búsqueda de contenido también se mejora con HTTPS, por lo que para las aplicaciones críticas se recomienda encarecidamente el uso de HTTPS. Como todos los datos están cifrados, la confidencialidad ha mejorado y cualquiera que controle el tráfico de la red no será capaz de captar ninguna información sensible. Esri está aplicando HTTPS con HSTS para aumentar la seguridad de ArcGIS.

¿Qué es HSTS?

HTTP Seguridad de transporte estricta (HSTS) es una tecnología de seguridad web que protege los servidores web HTTPS de ataques de degradación de la seguridad. Los ataques de degradación de la seguridad (también conocidos como SSL strip) son un tipo de ataque "man in the middle" en el que el atacante redirige el navegador web de un servidor web HTTPS correctamente configurado a un servidor malicioso.
 

¿Cómo se ve afectado ArcGIS?

Esri realizó estos cambios con un enfoque escalonado.Los clientes de Esri deben actuar para adaptarse a este cambio.

• Anteriormente, ArcGIS Online admitía la configuración de HTTP o HTTPS. Con la actualización del 8 de diciembre de 2020, se ha implementado el valor predeterminado de "Solo HTTPS" y los clientes ya no pueden tener la opción de desactivarlo. Sin embargo, para ArcGIS Enterprise, el cliente tiene el control total de la aplicación HTTPS/HSTS para su configuración.
• ArcGIS Hub se ha actualizado para aplicar el uso del estándar Solo HTTPS en todos los sitios y páginas, a partir del 8 de septiembre de 2020.
• Esri aplicó Solo HTTPS en World Geocoding Service el 29 de septiembre de 2020. Es probable que esta importante actualización de seguridad afecte a algunas soluciones personalizadas y software de ArcGIS.

¿Me afecta el cambio a HTTPS únicamente?

Se verá afectado cuando ArcGIS Online se haya cambiado a Solo HTTPS si alguno de los siguientes escenarios o flujos de trabajo es verdadero para sus operaciones:

1. No se podrá acceder a los elementos del cliente que ya se hayan agregado a ArcGIS Online con direcciones URL de Solo HTTP. Se incluyen todos los elementos agregados a ArcGIS Online que se alojan en el servidor de ArcGIS Enterprise en las instalaciones del cliente. Recuerde que no se agregarán elementos nuevos mediante HTTP.
2. Los clientes con documentos de mapa o paquetes (.mxd o . Aprx) que contienen capas de ArcGIS Online que se agregaron con texto sin formato (HTTP) necesitarán actualizar las referencias a las capas.
3. Los clientes con scripts de Python para administración o copia de seguridad de datos en ArcGIS Online que utilicen referencias URL HTTP dejarán de funcionar. Los scripts deben actualizarse para utilizar URL HTTPS.
4. Cualquier elemento agregado a ArcGIS Online desde vínculos externos a ArcGIS con URL de Solo HTTP será inaccesible a través de un navegador debido a conflictos de contenido mixto. Esto incluye:
   1. vínculos en los detalles del elemento
   2. elementos emergentes, etc.
5. Esto no afectará a los servicios web a los que se hace referencia por medio del proxy de uso compartido de ArcGIS Online.
   ¿Qué elementos pueden utilizar el proxy de uso compartido de ArcGIS Online?
   • Agregar o acceder a capas o servicios protegidos desde una configuración de ArcGIS Enterprise a ArcGIS Online con credenciales almacenadas
   • Acceso a recursos de distintos dominios (por ejemplo, servidores que no admiten CORS, por lo general servidores OGC de terceros)
   • Servicios que se consultan mediante el uso de sentencias GET HTTP de más de 2048 caracteres

¿Qué hay que hacer?

Si su organización se ve afectada, debe tomar medidas para disfrutar de un acceso continuado a los recursos. Por ejemplo, ha adquirido la suscripción a ArcGIS Online antes de septiembre de 2018 Y esta suscripción sigue configurada para permitir HTTP y HTTPS. A continuación, se proporciona más información sobre lo que debe hacer después para eliminar el tiempo de inactividad antes de cambiar a HTTPS únicamente.

1. Todos los clientes necesitan revisar la configuración de su organización para asegurarse de que HTTPS únicamente está habilitado. Por ejemplo, si no ve la opción para alternar entre HTTPS únicamente y HTTP/HTTPS, su suscripción ya requiere HTTPS.
2. Los clientes deben actualizar todos los elementos de la organización que son HTTP únicamente.

¿Qué herramientas están disponibles para el cliente?

• Herramientas nativas: son herramientas integradas en ArcGIS Online o Enterprise

1. Utilice las opciones Configuración de capas disponibles en cada mapa web para actualizar las referencias de capa a HTTPS, como se muestra en la imagen siguiente.

Cuando se selecciona Actualizar capas a HTTPS, la herramienta corrobora que las capas que participan en el mapa web estén accesibles a través de HTTPS y, en ese caso, actualiza la referencia.

Tras seleccionar Actualizar capas, se devuelve la lista de referencias de capa, que incluye las que no se pueden actualizar a HTTPS, como se muestra a continuación:

2. La herramienta Actualizar las referencias del sitio de ArcGIS Server está diseñada para permitir un cambio en el servidor SIG FQDN, pero puede utilizarse para actualizar masivamente todas las referencias a la raíz FQDN en HTTPS. Esta herramienta también valida si el servidor remoto admite HTTPS.

Nota: Esri recomienda encarecidamente validar si el servidor remoto admite HTTPS antes de realizar este cambio.

• Herramientas no nativas: el equipo de Seguridad y privacidad del software de Esri proporciona estas herramientas para facilitar la administración y validación de su organización de ArcGIS.

1. El Asesor de seguridad de ArcGIS es una herramienta no nativa creada por el Equipo de seguridad y privacidad del software de Esri para ayudar a supervisar la configuración de seguridad de ArcGIS y revisar sus registros:

• Esta herramienta funciona tanto en ArcGIS Online como en ArcGIS Enterprise (Portal for ArcGIS). Nota: La comprobación HTTP de esta herramienta no requiere credenciales administrativas para los usuarios con muchos de los elementos de su organización.

¿Cuál es el ámbito de compatibilidad de las herramientas proporcionadas?

El supervisor de seguridad de ArcGIS no se admite a través de los servicios de soporte de Esri. Recomendamos repasar la información de la ayuda relacionada con estas herramientas cuando se trabaje con el proceso de identificación y solución de HTTP. Los Servicios de soporte técnico de Esri enviarán errores o mejoras de las herramientas al Equipo de seguridad del software.

Las herramientas nativas de ArcGIS Online cuentan con la asistencia plena de los servicios de soporte de Esri.

¿La opción "Permitir el acceso a la organización a través de HTTPS únicamente" en la configuración de ArcGIS Online cambiará todas las capas existentes en ArcGIS Online a HTTPS? ¿O se deben actualizar las capas manualmente?

Las capas se deben actualizar manualmente. Consulte <document>:

¿Habrá parches para ArcGIS Enterprise, ArcGIS Server o Portal for ArcGIS para ayudar a actualizar los elementos HTTP a HTTPS?

No, debe utilizar las herramientas disponibles para ayudar a identificar los elementos de la configuración de Enterprise y actualizarlos. Consulte también los recursos adicionales que se proporcionan abajo para obtener asistencia relacionada con la forma de actualizar las capas de mapas web para utilizar HTTPS.
 

Recursos adicionales:

También es recomendable que los clientes revisen las referencias en la sección Información relacionada a continuación, como los recursos adicionales para actualizar contenido HTTP a HTTPS: