Nettstedet sender ikke HSTS-headeren, som ber nettlesere om alltid å bruke HTTPS for det. Uten den kan en besøkendes første forespørsel gå over vanlig HTTP, der den kan avlyttes, for eksempel på offentlig Wi-Fi.
Hva det betyr
HSTS (HTTP Strict Transport Security) er en svarheader som Strict-Transport-Security: max-age=31536000. Når en nettleser har sett den, bruker den HTTPS for nettstedet i så mange sekunder, selv når noen skriver inn eller klikker på en http://-adresse.
Hva som utløser det
Én gang i uken laster kontrollen Sikkerhetshoder startsiden over HTTPS. Hvis den ikke har noen Strict-Transport-Security-header med max-age over null, opprettes dette problemet med middels alvorlighet. Det vises i appen og sendes ikke på e-post.
HSTS er også én av de seks headerne i karakteren for sikkerhetshoder. Se Svake sikkerhetshoder.
Vanlige årsaker
- Webserveren, vertsplanen eller CDN-et sender den ikke som standard.
- Den ble utelatt da nettstedet gikk over til HTTPS, og aldri lagt til.
- Den sendes med max-age=0, som slår av HSTS.
Slik løser du det
- Sørg for at hele nettstedet fungerer over HTTPS, og at vanlig HTTP videresender dit. Se HTTPS er ikke riktig satt opp.
- Legg til Strict-Transport-Security: max-age=31536000 i innstillingene for webserveren, CDN-et eller vertstjenesten. I Cloudflare ligger det for eksempel under SSL/TLS → Edge Certificates.
- Legg bare til includeSubDomains eller preload når alle underdomener fungerer over HTTPS, fordi nettlesere da også vil nekte vanlig HTTP for dem, og forhåndslasting er vanskelig å angre.
Når det forsvinner
Kontrollen kjører ukentlig, så problemet forsvinner ved neste ukentlige kontroll som ikke lenger finner problemet, og tiltaket forsvinner fra tiltaksplanen 7 dager senere.
Hvis du merker tiltaket som ferdig og problemet fortsatt finnes 14 dager senere, kommer det tilbake som «Rettelsen virket ikke». Se Bruke tiltaksplanen.