De website stuurt de HSTS-header niet mee, die browsers vertelt altijd HTTPS te gebruiken. Zonder deze header kan het eerste verzoek van een bezoeker via gewone HTTP gaan, waar het kan worden onderschept, bijvoorbeeld op openbare wifi.
Wat het betekent
HSTS (HTTP Strict Transport Security) is een responsheader zoals Strict-Transport-Security: max-age=31536000. Zodra een browser die heeft gezien, gebruikt hij zoveel seconden HTTPS voor de website, ook als iemand een http://-adres typt of erop klikt.
Wat het activeert
Eenmaal per week laadt de controle Beveiligingsheaders de homepage via HTTPS. Als er geen Strict-Transport-Security-header met een max-age boven nul is, wordt dit probleem met prioriteit Gemiddeld gemeld. Het verschijnt in de app en wordt niet gemaild.
HSTS is ook een van de zes headers in de beoordeling van beveiligingsheaders. Zie Zwakke beveiligingsheaders.
Veelvoorkomende oorzaken
- De webserver, het hostingpakket of het CDN stuurt de header standaard niet mee.
- Het is weggelaten toen de website naar HTTPS overstapte en nooit toegevoegd.
- Het wordt verzonden met max-age=0, wat HSTS uitschakelt.
Hoe je het oplost
- Zorg dat de hele website via HTTPS werkt en dat gewone HTTP ernaar doorverwijst. Zie HTTPS niet goed ingesteld.
- Voeg Strict-Transport-Security: max-age=31536000 toe in de instellingen van je webserver, CDN of hosting. In Cloudflare staat dat bijvoorbeeld onder SSL/TLS → Edge Certificates.
- Voeg includeSubDomains of preload pas toe als elk subdomein via HTTPS werkt, omdat browsers dan ook voor die subdomeinen gewone HTTP weigeren, en preloading moeilijk ongedaan te maken is.
Wanneer het verdwijnt
De controle draait wekelijks, dus het probleem verdwijnt bij de volgende wekelijkse controle die het probleem niet meer vindt, en de actie verdwijnt 7 dagen later uit het actieplan.
Als je de actie als klaar markeert en het probleem 14 dagen later nog steeds wordt gevonden, komt ze terug als “Oplossing werkte niet”. Zie Het actieplan gebruiken.