HSTS: Wie Browser HTTPS erzwingen

Mit HTTP Strict Transport Security kann ein HTTPS-Origin unterstützenden Browsern mitteilen, für einen bestimmten Zeitraum ausschließlich HTTPS zu verwenden. includeSubDomains weitet die Richtlinie aus; Preload ist ein separater Mechanismus der Browserhersteller und sollte nicht leichtfertig aktiviert werden.

Was HSTS im Browser ändert

HSTS weist einen Browser an, eine Website während der angegebenen max-age nur über HTTPS aufzurufen. Hat der Browser die Richtlinie einmal erhalten, stellt er spätere HTTP-Aufrufe auf HTTPS um, bevor überhaupt eine gewöhnliche unverschlüsselte Anfrage gesendet wird.

So prüfen Sie HSTS

Sehen Sie sich den Antwort-Header Strict-Transport-Security und dessen max-age an. Stellen Sie vor dem Einsatz von includeSubDomains sicher, dass alle benötigten Subdomains per HTTPS funktionieren. Betrachten Sie Preload als eigenständige, länger bindende Verpflichtung und nicht als routinemäßigen HSTS-Schalter. Ob der Server auf Port 443 antwortet, zeigt die Serverdienst-Prüfung von 2IP. Die externe HTTP-Antwort der Website können Sie mit der Website-Informationsabfrage von 2IP gegenprüfen.

Vorsicht bei includeSubDomains und Preload

Technische Referenz: RFC 6797.