Web & Zertifikate

Was ist HSTS? HTTP Strict Transport Security erklärt

HSTS ist ein HTTP-Header, mit dem eine Website dem Browser sagt: Ruf mich für eine bestimmte Zeit nur noch per HTTPS auf. Das verhindert Angriffe über unverschlüsselte Erstaufrufe.

So funktioniert HSTS

Der Server sendet bei HTTPS-Antworten den Header Strict-Transport-Security mit max-age in Sekunden. Der Browser merkt sich das und wandelt jeden http://-Aufruf dieser Domain selbst in https:// um – auch wenn jemand einen alten Link anklickt.

includeSubDomains dehnt die Regel auf alle Subdomains aus. Mit dem Zusatz preload und einem Eintrag in die HSTS-Preload-Liste der Browser gilt der Schutz sogar beim allerersten Besuch; dafür sind mindestens ein Jahr max-age und includeSubDomains nötig.

Über HTTP gesendete HSTS-Header ignoriert der Browser. Der Header gehört also in die HTTPS-Antworten.

Beispiel

Strict-Transport-Security: max-age=31536000; includeSubDomains

31536000 Sekunden sind ein Jahr.

Typische Fehler

includeSubDomains gesetzt, obwohl einzelne Subdomains noch kein HTTPS haben – sie sind dann im Browser nicht mehr erreichbar.
Sehr kurzes max-age (z. B. 300 Sekunden) – der Schutz verfällt sofort wieder.
Preload beantragt, ohne die Folgen zu kennen – die Aufnahme lässt sich nur langsam rückgängig machen.

So bewertet der Domain Trust Check HSTS

Kriterium „HTTPS Hauptdomain“ (Gewicht 5 von 5): Erreichbarkeit per HTTPS, vertrauenswürdiges und passendes Zertifikat, Restlaufzeit, TLS 1.2/1.3 statt TLS 1.0/1.1, dauerhafte Weiterleitung von HTTP auf HTTPS und HSTS.

Kriterium „HTTPS www“ (Gewicht 5 von 5): Dieselben Prüfungen für die www-Subdomain. Existiert keine www-Subdomain, ist das Kriterium nicht anwendbar.

Standard: RFC 6797