HSTS einrichten: Strict-Transport-Security richtig setzen

Warum das wichtig ist

Auch mit sauberer Weiterleitung auf HTTPS gibt es einen schwachen Moment: Wer deine Domain ohne https eintippt, schickt die erste Anfrage unverschlüsselt los. In einem manipulierten WLAN kann ein Angreifer genau diese Anfrage abfangen und die Weiterleitung unterdrücken. Das Verfahren heißt SSL-Stripping und ist seit Jahren bekannt.

Mit HSTS merkt sich der Browser nach dem ersten Besuch, dass deine Domain nur verschlüsselt erreichbar ist. Ab dann baut er jede Verbindung direkt über https auf, auch wenn jemand http:// tippt oder einen alten Link anklickt. Bei Zertifikatsfehlern gibt es zusätzlich keinen Knopf mehr, um die Warnung wegzuklicken.

Für eine kleine Firmenwebsite ist HSTS ein Baustein unter vielen, checkfrei gewichtet ihn entsprechend niedrig. Weil er nur eine Zeile Konfiguration kostet, gibt es trotzdem wenig Gründe, darauf zu verzichten.

So prüfst du es selbst

Öffne die Entwicklertools (F12), lade die Seite neu und klick im Reiter „Netzwerk“ auf den ersten Eintrag. Unter den Antwort-Headern steht, wenn vorhanden, strict-transport-security. Im Terminal:

curl -sI https://example.de | grep -i strict-transport

Was checkfrei prüft

Achte auf max-age, der Wert steht in Sekunden. checkfrei erwartet mindestens sechs Monate, also 15552000 Sekunden (180 Tage). Üblich ist ein Jahr, das sind 31536000. Fehlt der Header oder ist die Zeit kürzer, gibt es eine Warnung. Den Header prüfen wir zusammen mit allen anderen Sicherheitsheadern im kostenlosen Check.

Wichtig zu wissen: Browser beachten den Header nur, wenn er über https kommt. Über http ausgeliefert, wird er ignoriert.

So behebst du es

Wenn du vorsichtig sein willst, setz max-age zuerst auf einen Tag (86400) und erhöhe nach ein paar Tagen ohne Probleme auf ein Jahr.

includeSubDomains dehnt die Regel auf alle Subdomains aus, also auch auf shop., mail., intern. oder die vergessene test.-Umgebung. Kann eine davon kein https, ist sie für alle, die deine Hauptseite schon besucht haben, nicht mehr erreichbar, und zwar für die volle Laufzeit. Geh vorher deine DNS-Einträge durch. Bist du dir nicht sicher, lass den Zusatz weg. In den Beispielen unten steht er, weil die meisten Seiten ihn vertragen.

preload geht noch weiter. Über hstspreload.org trägst du deine Domain in eine Liste ein, die fest in die großen Browser eingebaut ist. Dann gilt HTTPS schon beim allerersten Besuch. Das Austragen dauert allerdings Monate, und preload setzt includeSubDomains voraus. Für die meisten kleinen Firmen ist das unnötig. Wir raten nur dazu, wenn du alle Subdomains sicher im Griff hast.

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

// next.config.mjs
const nextConfig = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "Strict-Transport-Security", value: "max-age=31536000; includeSubDomains" },
        ],
      },
    ];
  },
};

export default nextConfig;

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains