Strict-Transport-Security-Header (HSTS)

Weist Browser an, die Seite für eine festgelegte Zeit nur über HTTPS aufzurufen, sodass ein Downgrade gar nicht erst zustande kommt. Als stark gilt eine max-age ab sechs Monaten.

• Hilfe

HSTS (HTTP Strict Transport Security) sagt dem Browser: Öffne diese Website für die nächsten N Sekunden nur über HTTPS. Nach dem ersten Besuch schreibt der Browser jeden http://-Link selbst auf https:// um, bevor eine Anfrage das Gerät verlässt. Das schließt die Lücke, die eine Weiterleitung offen lässt: die erste unverschlüsselte Anfrage, über die sich HTTPS in einem öffentlichen WLAN aushebeln lässt. Zertifikatswarnungen werden zudem zu harten Fehlern, die sich nicht wegklicken lassen.

So bewertet SiteScan

Der Scanner liest den Wert von max-age. Ein halbes Jahr (15.552.000 Sekunden) oder mehr ist „Stark“; ein kürzerer Wert ist „Schwach“, weil der Schutz zwischen zwei Besuchen zu schnell ausläuft. Kein Header heißt „Fehlt“. Gezählt wird nur ein Header, der über HTTPS kommt – über HTTP ignorieren Browser ihn.

Empfohlener Wert

Strict-Transport-Security: max-age=31536000; includeSubDomains

Sind Sie unsicher, ob alle Subdomains HTTPS beherrschen, beginnen Sie mit kurzem max-age (etwa 300) und erhöhen dann auf ein Jahr. includeSubDomains erst, wenn alle Subdomains HTTPS haben, preload erst, wenn die Preload-Bedingungen erfüllt sind. Prüfen Sie auch die Weiterleitung von http auf https.