HSTS erklärt: max-age, preload und was kaputtgeht

Was der Header tatsächlich tut

Strict-Transport-Security sagt dem Browser, dass dieser Host für die nächsten N Sekunden ausschließlich über HTTPS kontaktiert werden darf. Einmal empfangen, schreibt der Browser interne http://-Links um, blockiert den Klick auf Zertifikatsfehler und verweigert reines HTTP — bevor irgendeine Anfrage den Rechner verlässt.

Deshalb wehrt er Downgrade-Angriffe ab, die eine Weiterleitung nicht abwehren kann: Eine Weiterleitung sendet die erste Anfrage noch im Klartext, und genau die will ein Angreifer im Netz abfangen.

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

max-age ist ein Countdown, den man nicht abbrechen kann

Die max-age liegt beim Client. Wenn Sie ein Jahr ausliefern und den Header dann entfernen, erzwingt jeder Browser, der ihn gesehen hat, bis zu ein Jahr weiter HTTPS. Es gibt keinen serverseitigen Schalter zum Abschalten.

CertH behandelt 180 Tage (15552000 Sekunden) als Schwelle für A+. Ein Jahr ist der übliche Produktionswert. Alles unter 180 Tagen gilt in der Zusammenfassung noch als HSTS aktiv, schaltet A+ aber nicht frei.

includeSubDomains und preload sind getrennte Entscheidungen

includeSubDomains dehnt die Regel auf jede Subdomain aus. Gibt es auch nur eine Subdomain, die nur HTTP spricht — ein internes Tool, ein Altbestand-Adminpanel, ein Staging-Host —, wird sie für alle unerreichbar, die die Hauptdomain besucht haben. Prüfen Sie zuerst DNS.

Preload geht weiter: Die Domain wird in eine mit Browsern ausgelieferte Liste aufgenommen, sodass die Regel schon beim Erstbesuch greift, bevor irgendein Header gesehen wurde. Die Entfernung dauert Monate und erfordert eine Einreichung bei der Removal-Liste. Setzen Sie preload erst, wenn der Header einige Monate stabil war.

• •Den Header bei jeder HTTPS-Antwort senden, auch auf Fehlerseiten — ein 404 ohne ihn lehrt den Browser nichts.
• •HSTS niemals über reines HTTP senden; Browser ignorieren es per Spezifikation, eine fehlkonfigurierte Redirect-Schleife lässt sich so nicht reparieren.
• •Subdomains vor dem Setzen von includeSubDomains auf reine HTTP-Dienste prüfen.
• •preload zuletzt setzen, und erst wenn max-age eine Weile bei einem Jahr steht.

Ein Rollout, der nichts kaputt macht

Starten Sie mit einer kurzen max-age, damit ein Fehler schnell ausläuft: max-age=300. Eine Woche halten und auf kaputte Subdomains und Mixed-Content-Meldungen achten. Dann auf einen Tag, dann einen Monat, dann ein Jahr. Jeder Schritt ist im vorherigen Fenster umkehrbar — genau das ist der Sinn des kurzen Starts.

Wenn doch etwas bricht, besteht die Lösung darin, auf dem betroffenen Host HTTPS korrekt auszuliefern — nicht darin, den Header zu entfernen, was niemandem mehr hilft, der ihn schon erhalten hat.

FAQ