HSTS (HTTP Strict Transport Security)
HSTS ist ein HTTP-Response-Header, der den Browser anweist, eine Website ausschließlich über verschlüsseltes HTTPS aufzurufen. Einmal gesetzt, ignoriert der Browser für den angegebenen Zeitraum (max-age) alle HTTP-Verbindungsversuche und leitet sie automatisch auf HTTPS um — noch bevor eine Verbindung zum Server hergestellt wird.
Ohne HSTS ist der erste Seitenaufruf über HTTP verwundbar: Ein Angreifer im Netzwerk kann die Verbindung abfangen und den Besucher auf eine unverschlüsselte Seite umleiten (SSL-Stripping). HSTS schließt dieses Fenster nach dem ersten erfolgreichen HTTPS-Besuch.
So funktioniert HSTS
Der Server sendet den Header Strict-Transport-Security: max-age=31536000; includeSubDomains. Der Browser merkt sich diese Anweisung für die angegebene Dauer (hier: ein Jahr) und ruft die Domain fortan nur noch über HTTPS auf. Der Parameter includeSubDomains wendet diese Regel auf alle Subdomains an.
HSTS Preload
Die HSTS Preload List ist eine von Google gepflegte Liste, die in alle großen Browser eingebaut ist. Domains auf dieser Liste werden immer über HTTPS aufgerufen — auch beim allerersten Besuch. Die Aufnahme erfordert: max-age ≥ 31536000, includeSubDomains und den preload-Parameter.
Was prüft exatics?
Unser Audit prüft, ob der HSTS-Header gesetzt ist, ob die max-age ausreichend lang ist und ob includeSubDomains aktiviert ist. Ein fehlender oder zu kurzer HSTS-Header senkt den Sicherheits-Score.
Häufige Fragen zu HSTS (HTTP Strict Transport Security)
Kann HSTS meine Website unzugänglich machen?
Ja, wenn HTTPS nicht korrekt konfiguriert ist. HSTS zwingt den Browser zu HTTPS — funktioniert das Zertifikat nicht, ist die Website nicht erreichbar. Deshalb HSTS erst aktivieren, wenn HTTPS sicher funktioniert. Mit einer kurzen max-age (z. B. 300 Sekunden) testen, dann schrittweise erhöhen.
Was ist der Unterschied zwischen HSTS und einer HTTP-Weiterleitung?
Eine HTTP-zu-HTTPS-Weiterleitung (301 Redirect) funktioniert serverseitig: Der Browser kontaktiert den Server über HTTP und wird auf HTTPS umgeleitet. HSTS funktioniert browserseitig: Der Browser ruft die Website direkt über HTTPS auf, ohne den Server vorher über HTTP zu kontaktieren. HSTS ist sicherer, weil kein unverschlüsselter Request stattfindet.
Verwandte Begriffe
Weiterführende Ratgeber: