Websitet sender ikke HSTS-headeren, som fortæller browsere, at de altid skal bruge HTTPS til det. Uden den kan en besøgendes første anmodning gå over almindelig HTTP, hvor den kan opsnappes, for eksempel på offentligt Wi-Fi.
Hvad det betyder
HSTS (HTTP Strict Transport Security) er en svarheader som Strict-Transport-Security: max-age=31536000. Når en browser har set den, bruger den HTTPS til websitet i det antal sekunder, selv når nogen skriver eller klikker på en http://-adresse.
Hvad udløser det
Én gang om ugen indlæser tjekket Sikkerhedsheadere forsiden over HTTPS. Hvis den ikke har en Strict-Transport-Security-header med en max-age over nul, oprettes dette Mellem-problem. Det vises i appen og sendes ikke pr. e-mail.
HSTS er også en af de seks headere i karakteren for sikkerhedsheadere. Se Svage sikkerhedsheadere.
Almindelige årsager
- Webserveren, hostingplanen eller CDN'et sender den ikke som standard.
- Den blev udeladt, da websitet skiftede til HTTPS, og aldrig tilføjet.
- Den sendes med max-age=0, hvilket slår HSTS fra.
Sådan løser du det
- Sørg for, at hele websitet virker over HTTPS, og at almindelig HTTP omdirigerer dertil. Se HTTPS er ikke sat korrekt op.
- Tilføj Strict-Transport-Security: max-age=31536000 i din webserver, dit CDN eller dine hostingindstillinger. I Cloudflare ligger det f.eks. under SSL/TLS → Edge Certificates.
- Tilføj kun includeSubDomains eller preload, når alle underdomæner virker over HTTPS, fordi browsere så også vil afvise almindelig HTTP for dem, og preload er svært at fortryde.
Hvornår det forsvinder
Tjekket kører ugentligt, så problemet forsvinder ved det næste ugentlige tjek, der ikke længere finder det, og dets handling forsvinder fra handlingsplanen 7 dage senere.
Hvis du markerer handlingen som færdig, og problemet stadig findes 14 dage senere, kommer den tilbage som “Rettelsen virkede ikke”. Se Brug af handlingsplanen.