Strict-Transport-Security (HSTS)

Dwingt de browser om altijd HTTPS te gebruiken voor dit domein, ook als een link of bladwijzer naar http:// wijst.

Wat doet hij?

Zodra een browser deze header één keer ziet, onthoudt hij voor de opgegeven max-age dat het domein alleen via HTTPS bezocht mag worden. Een volgend bezoek via http:// wordt lokaal in de browser omgezet naar https://, zonder dat er ooit een onversleuteld verzoek de deur uitgaat.

Waarom telt hij mee?

Zonder HSTS kan een aanvaller op hetzelfde netwerk (bijvoorbeeld open wifi) het eerste, onversleutelde verzoek onderscheppen en de gebruiker op een nagemaakte pagina laten belanden (SSL-stripping). HSTS sluit dat venster.

Aanbevolen waarde

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Veelgemaakte fout

Een korte max-age instellen om 'op safe te spelen'. Onder de aanbevolen 180 dagen (15552000 seconden) biedt de header nauwelijks bescherming, omdat de afspraak snel verloopt.

Configuratievoorbeelden

Kant-en-klare snippet om Strict-Transport-Security in te stellen, per platform.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Check Strict-Transport-Security op jouw domein

Voer een domein in en zie direct of deze header aanwezig is en goed is ingesteld.