HSTS schrittweise aktivieren

HSTS teilt dem Browser mit, dass er diesen Namen für die eingestellte Dauer nur noch über HTTPS aufrufen darf. Der Browser lernt das, wenn er den Header über eine gültige HTTPS-Verbindung erhält; ein über HTTP gesendeter Header wird ignoriert.

Aktivieren Sie es nicht nur, um ein Audit zu bestehen. Bestätigen Sie vorher, dass:

• Die Domain ein gültiges und erneuerbares Zertifikat vorweist.
• Die gesamte Website, einschließlich Anmeldung, Zahlungen, APIs und Ressourcen, über HTTPS funktioniert.
• Eine stabile Weiterleitung von HTTP auf HTTPS besteht.
• Sie HTTPS während des gesamten max-age aufrechterhalten können, denn Besucher können einen späteren Fehler nicht übergehen.

Danach können Sie der Datei .htaccess der Domain eine kurze Anfangsrichtlinie hinzufügen, die nur für HTTPS gilt:

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=300" "expr=%{HTTPS} == 'on'"
</IfModule>

Testen Sie die Website und erhöhen Sie den Wert schrittweise, zum Beispiel auf einen Tag und danach auf mehrere Monate. Fügen Sie includeSubDomains erst hinzu, wenn Sie bestätigt haben, dass alle aktuellen und künftigen Subdomains immer über HTTPS funktionieren werden. Fügen Sie preload nicht standardmäßig hinzu: Das Entfernen kann dauern und erfordert, die Anforderungen der Preload-Liste zu erfüllen.

HSTS behebt weder gemischte Inhalte noch ein ungültiges Zertifikat oder eine falsche Weiterleitung. Lösen Sie diese Probleme, bevor Sie die Richtlinie ausweiten.

Die Richtlinie prüfen und entfernen

Öffnen Sie in den Entwicklerwerkzeugen des Browsers Netzwerk, laden Sie die HTTPS-URL und prüfen Sie die Antwort-Header des Dokuments. Es muss genau eine Strict-Transport-Security-Richtlinie mit dem gewählten Wert erscheinen. Prüfen Sie auch Seiten, die weiterleiten oder einen Fehler zurückgeben. Hinter einem Proxy klären Sie, wo TLS endet, und setzen den Header in der Ebene, die das Protokoll des Besuchers zuverlässig kennt; verlassen Sie sich nicht auf einen Header, den der Client beliebig senden kann.

Die obige Regel verwendet Ausdrücke von Apache 2.4. Wenn der Server sie nicht unterstützt oder einen Fehler 500 zurückgibt, stellen Sie die vorherige .htaccess wieder her und fragen Sie uns, bevor Sie die Bedingung anpassen.

Das Entfernen der Zeile löscht nicht, was Browser bereits gelernt haben. Um eine normale Richtlinie zurückzunehmen, liefern Sie max-age=0 über gültiges HTTPS aus; Besucher, die nicht zurückkehren, behalten die Richtlinie, bis sie abläuft. Die Richtlinie einer übergeordneten Domain mit includeSubDomains und das Preloading müssen gesondert geprüft werden. Lesen Sie die Anforderungen und das Entfernen aus der Preload-Liste, bevor Sie die Aufnahme beantragen.