HSTS-Preload-Liste

Der Header bittet um Aufnahme in die HTTPS-only-Liste der Browser. Die Liste verlangt mindestens ein Jahr max-age und includeSubDomains.

• Hilfe

Auch mit HSTS beginnt der allererste Besuch über HTTP, weil der Browser den Header noch nicht kennt. Diese Lücke schließt die Preload-Liste: ein in Chrome, Firefox, Safari und Edge eingebautes Verzeichnis von Domains, die diese Browser schon ab der ersten Anfrage nur über HTTPS öffnen. Aufgenommen wird eine Domain, wenn sie das Token preload in ihren HSTS-Header schreibt und sich auf hstspreload.org einträgt.

So prüft SiteScan

Die Zeile erscheint nur, wenn der HSTS-Header preload enthält. Dann prüft der Scanner die Bedingungen, die sich am Header ablesen lassen: max-age von mindestens einem Jahr (31.536.000 Sekunden) und includeSubDomains. Sind beide erfüllt, zeigt die Zeile „Vorhanden“; sonst gelb „Bedingungen nicht erfüllt“ – die Liste würde die Domain ablehnen, obwohl der Header anderes andeutet. Die Liste selbst fragt SiteScan nicht ab; die Anmeldung bleibt Ihre Aufgabe.

Bevor Sie Preload nutzen

Preload ist optional und schwer rückgängig zu machen: Eine Entfernung erreicht die Browser erst nach Monaten. Jede Subdomain, auch interne, muss über HTTPS funktionieren. Der vollständige Header:

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

Die HTTP-Adresse muss zudem auf HTTPS desselben Hosts weiterleiten.