HSTS prüfen

HSTS, includeSubDomains und Preload

Mit diesem Werkzeug HSTS prüfen Sie den Header Strict-Transport-Security, mit dem eine Website dem Browser sagt: Diese Adresse ab sofort nur noch über HTTPS aufrufen. Der Prüfer zerlegt die Direktiven, rechnet max-age in Tage und Jahre um und meldet Fehler, die den HSTS-Header unwirksam machen, etwa doppelte Direktiven, fehlendes max-age oder Werte mit Einheiten. Nach RFC 6797 ignoriert der Browser den Header in HTTP-Antworten vollständig; er zählt nur, wenn er über eine fehlerfreie HTTPS-Verbindung kommt.

includeSubDomains dehnt den Schutz auf alle Subdomains aus. Das verhindert, dass ein Angreifer über eine vergessene HTTP-Subdomain Cookies der Hauptdomain abgreift, setzt aber voraus, dass wirklich jede Subdomain HTTPS beherrscht. HSTS Preload geht einen Schritt weiter: Die Domain wird fest in die Browser eingebaut, sodass schon der allererste Aufruf über HTTPS läuft. Für die Aufnahme über hstspreload.org verlangt die Liste max-age von mindestens 31536000 Sekunden (ein Jahr), includeSubDomains, die Direktive preload, eine Weiterleitung von HTTP auf HTTPS desselben Hosts und den Header auf der Hauptdomain.

Führen Sie HSTS schrittweise ein: zuerst wenige Minuten, dann eine Woche, einen Monat, schließlich ein bis zwei Jahre. Eine Aufnahme in die Preload-Liste lässt sich nur langsam rückgängig machen, weil die Liste mit Browser-Updates verteilt wird. Zurücknehmen können Sie HSTS mit max-age=0, aber nur bei Browsern, die die Seite danach noch einmal per HTTPS besuchen. Die Weiterleitung auf HTTPS erstellen Sie mit dem htaccess-Redirect-Generator, weitere Header prüfen Sie mit dem Sicherheits-Header-Prüfer.