HSTS: So erzwingen Sie, dass Browser immer HTTPS nutzen

Sie haben ein SSL-Zertifikat und Ihre Website läuft über HTTPS — aber ist sie wirklich sicher? Wenn jemand Ihre Adresse ohne https:// eingibt, geht die erste Anfrage dennoch über unverschlüsseltes HTTP, und erst danach verschiebt eine Weiterleitung sie zur sicheren Verbindung. Dieser kurze Moment ist ein Einfallstor für Angriffe. HSTS schließt genau diese Lücke.

Was HSTS ist

HSTS (HTTP Strict Transport Security) ist ein HTTP-Header, mit dem der Server dem Browser sagt: Ab jetzt, für die nächsten X Sekunden, öffne diese Domain ausschließlich über HTTPS, ohne Ausnahme. Der Browser merkt sich das und sendet alle künftigen Anfragen automatisch als HTTPS, selbst wenn der Nutzer einen einfachen HTTP-Link eingibt. Das verhindert den sogenannten SSL-Stripping-Angriff, bei dem ein Angreifer das Opfer auf einer unverschlüsselten Verbindung halten will.

Wie er aussieht und was die Parameter bedeuten

Der Header sieht so aus: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Drei Teile:

• max-age — wie lange (in Sekunden) sich der Browser die Regel merkt. 31536000 ist ein Jahr, der empfohlene Produktionswert.
• includeSubDomains — die Regel gilt auch für jede Subdomain. Aktivieren Sie das erst, wenn Sie sicher sind, dass wirklich jede Subdomain über HTTPS läuft.
• preload — ein Signal, dass Sie in die im Browser eingebaute Liste aufgenommen werden möchten, in der HTTPS bereits beim allerersten Besuch erzwungen wird.

So aktivieren Sie es ohne Risiko

Die wichtigste Regel: Stellen Sie sicher, dass die gesamte Website und alle Subdomains einwandfrei über HTTPS laufen, bevor Sie ein langes max-age setzen. Wenn Sie HTTPS später deaktivieren möchten, während Browser HSTS noch gespeichert haben, ist die Website für diese Besucher bis zum Ablauf von max-age nicht erreichbar. Gehen Sie daher vorsichtig vor — setzen Sie ein kurzes max-age (etwa 300 Sekunden), prüfen Sie, dass alles funktioniert, und erhöhen Sie es dann auf ein Jahr und erwägen die Preload-Liste.

Wenn Sie sich nicht mit der Serverkonfiguration abmühen möchten: Unsere SEO-Hosting-Pakete enthalten kostenloses SSL, und HSTS sowie Weiterleitungen sind mit wenigen Klicks eingerichtet. Vergleichen Sie die Pakete und Preise und starten Sie sofort mit sicherem HTTPS.

Häufige Fragen

Verlangsamt HSTS die Website? Nein — im Gegenteil, es spart eine Weiterleitung, weil der Browser ohne Zwischenschritt direkt zu HTTPS geht.

Was passiert, wenn ich das Zertifikat verliere? Solange HSTS aktiv ist, verweigert der Browser das Öffnen der Website ohne gültiges Zertifikat, daher ist die rechtzeitige Erneuerung Pflicht.

Bevor Sie HSTS aktivieren, prüfen Sie, dass Sie ein gültiges SSL-Zertifikat und HTTPS haben, beheben Sie Mixed Content und richten Sie korrekte 301-Weiterleitungen von HTTP auf HTTPS ein.