Webbplatsen skickar inte HSTS-huvudet, som talar om för webbläsare att alltid använda HTTPS för den. Utan det kan en besökares första förfrågan gå via vanlig HTTP, där den kan avlyssnas, till exempel på ett offentligt wifi.
Vad det betyder
HSTS (HTTP Strict Transport Security) är ett svarshuvud som Strict-Transport-Security: max-age=31536000. När en webbläsare har sett det använder den HTTPS för webbplatsen i så många sekunder, även när någon skriver eller klickar på en http://-adress.
Vad som utlöser det
En gång i veckan laddar kontrollen Säkerhetshuvuden startsidan via HTTPS. Om den saknar ett Strict-Transport-Security-huvud med en max-age över noll flaggas detta problem med medelhög allvarlighetsgrad. Det visas i appen och skickas inte via e-post.
HSTS är också ett av de sex huvudena i betyget för säkerhetshuvuden. Se Svaga säkerhetshuvuden.
Vanliga orsaker
- Webbservern, webbhotellsabonnemanget eller CDN:et skickar det inte som standard.
- Det utelämnades när webbplatsen gick över till HTTPS och lades aldrig till.
- Det skickas med max-age=0, vilket stänger av HSTS.
Så åtgärdar du det
- Se till att hela webbplatsen fungerar via HTTPS och att vanlig HTTP omdirigerar dit. Se HTTPS är inte korrekt konfigurerat.
- Lägg till Strict-Transport-Security: max-age=31536000 i inställningarna för din webbserver, ditt CDN eller ditt webbhotell. I Cloudflare finns det till exempel under SSL/TLS → Edge Certificates.
- Lägg bara till includeSubDomains eller preload när alla underdomäner fungerar via HTTPS, eftersom webbläsare då vägrar vanlig HTTP även för dem, och preload är svårt att ångra.
När det försvinner
Kontrollen körs varje vecka, så problemet försvinner vid nästa veckokontroll som inte längre hittar det, och dess åtgärd försvinner från åtgärdsplanen 7 dagar senare.
Om du markerar åtgärden som klar och problemet fortfarande hittas 14 dagar senare kommer den tillbaka som ”Åtgärden fungerade inte”. Se Använda åtgärdsplanen.