HSTS
HSTS (HTTP Strict Transport Security) erklärt über einen HTTP-Header, dass eine Website nur per HTTPS erreichbar ist, und verhindert SSL-Stripping- und Downgrade-Angriffe.
Zweck
Es zwingt Browser, für die Website immer HTTPS zu verwenden, selbst wenn der Nutzer HTTP eingibt.
Mechanismus
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Sobald der Browser ihn gespeichert hat, wird jede HTTP-Anfrage für die max-age-Dauer automatisch zu HTTPS hochgestuft. Die preload-Direktive qualifiziert die Website für die eingebaute HSTS-Preload-Liste des Browsers.
Anwendungsfälle
- SSL-Stripping-Abwehr
- Erzwungene HTTPS-Upgrades
- Subdomain-Schutz
- Die Preload-Liste
Beispiele
- Eingabe
max-age=31536000; preloadOutputHTTPS enforced for one yearWith preload
Häufige Fehler
- Without HSTS, the first HTTP visit is exposed to man-in-the-middle attackers
- Set HSTS and join the preload list
Verwandte Begriffe
TLS
TLS (Transport Layer Security) bietet auf der Transportschicht Verschlüsselung, Integrität und Authentifizierung; es hat SSL abgelöst und trägt HTTPS, SMTPS und mehr. GLOSSAR
HTTPS
HTTPS ist HTTP über TLS: Es verschlüsselt die HTTP-Kommunikation auf der Transportschicht, bietet Vertraulichkeit, Integrität und Server-Authentifizierung und ist der moderne Web-Standard. GLOSSAR
Security Header
Sicherheits-HTTP-Header sind Response-Header, die den Browser anweisen, Sicherheitsmechanismen zu aktivieren, etwa CSP, HSTS und X-Frame-Options. GLOSSAR