Die Website sendet den HSTS-Header nicht, der Browsern sagt, für sie immer HTTPS zu verwenden. Ohne ihn kann die erste Anfrage eines Besuchers über einfaches HTTP laufen, wo sie abgefangen werden könnte, zum Beispiel in einem öffentlichen WLAN.
Was es bedeutet
HSTS (HTTP Strict Transport Security) ist ein Antwort-Header wie Strict-Transport-Security: max-age=31536000. Sobald ein Browser ihn gesehen hat, verwendet er für die Website so viele Sekunden lang HTTPS, selbst wenn jemand eine http://-Adresse eintippt oder anklickt.
Was es auslöst
Einmal pro Woche lädt die Prüfung „Sicherheits-Header“ die Startseite über HTTPS. Hat sie keinen Strict-Transport-Security-Header mit einem max-age über null, wird dieses Problem mit Schweregrad Mittel gemeldet. Es erscheint in der App und wird nicht per E-Mail verschickt.
HSTS ist außerdem einer der sechs Header in der Bewertung der Sicherheits-Header. Siehe Schwache Sicherheits-Header.
Häufige Ursachen
- Der Webserver, Hosting-Tarif oder das CDN sendet ihn standardmäßig nicht.
- Er wurde bei der Umstellung der Website auf HTTPS weggelassen und nie hinzugefügt.
- Er wird mit max-age=0 gesendet, was HSTS abschaltet.
So beheben Sie es
- Stellen Sie sicher, dass die gesamte Website über HTTPS funktioniert und einfaches HTTP darauf weiterleitet. Siehe HTTPS nicht richtig eingerichtet.
- Fügen Sie Strict-Transport-Security: max-age=31536000 in den Einstellungen Ihres Webservers, CDN oder Hostings hinzu. In Cloudflare finden Sie das zum Beispiel unter SSL/TLS → Edge Certificates.
- Fügen Sie includeSubDomains oder preload erst hinzu, wenn jede Subdomain über HTTPS funktioniert, denn Browser verweigern dann auch für diese einfaches HTTP, und Preloading lässt sich nur schwer rückgängig machen.
Wann es aufgehoben wird
Die Prüfung läuft wöchentlich, daher verschwindet das Problem bei der nächsten wöchentlichen Prüfung, die es nicht mehr findet, und seine Maßnahme verschwindet 7 Tage später aus dem Maßnahmenplan.
Wenn Sie die Maßnahme als erledigt markieren und das Problem 14 Tage später noch gefunden wird, kehrt sie als „Behebung hat nicht funktioniert“ zurück. Siehe Den Maßnahmenplan nutzen.