Immer HTTPS verwenden (HSTS)

Wer helfen kann

Ihr Webhoster oder Webentwickler

Erst prüfen, dann ändern

Nutzen Sie diese Schritte für eine Website oder E-Mail-Domain, die Sie verwalten. Ersetzen Sie die großgeschriebenen Platzhalter durch Ihre eigenen Werte. Wenn sich ein Schritt auf gespeicherte Belege bezieht, führen Sie die kostenlose Prüfung durch und bestätigen Sie Ihre Domain, um den privaten Bericht zu öffnen. Verwenden Sie genau den dort angezeigten Hostnamen oder DNS-Abfragenamen.

1. Öffnen Sie in den Entwicklertools Ihres Browsers (Registerkarte „Netzwerk“) die HTTPS-Antwort der Startseite und notieren Sie den genauen Wert von Strict-Transport-Security sowie, wer ihn verwaltet. Behalten Sie eine bestehende strengere Richtlinie bei, auch wenn sie auf der übergeordneten Domain oder über die Preload-Liste der Browser gesetzt ist.

URL: https://YOUR_HOSTNAME/
Antwort-Header: Strict-Transport-Security
Bestehender Wert und Verantwortlicher der Richtlinie: RECORD

Was zu tun ist

Schalten Sie HSTS erst ein, wenn HTTPS auf Ihrer gesamten Website zuverlässig funktioniert: Browser merken sich die Einstellung, auch nachdem Sie sie entfernt haben. Bitten Sie Ihren Webhoster um den Header Strict-Transport-Security, zunächst mit kurzer Dauer (max-age=300, fünf Minuten), und erhöhen Sie diese dann schrittweise auf mindestens 180 Tage (max-age=15552000), idealerweise ein Jahr (max-age=31536000). Fügen Sie includeSubDomains oder preload erst hinzu, wenn jede Subdomain über HTTPS funktioniert: Beides lässt sich nur schwer rückgängig machen.

So überprüfen Sie die Änderung

Führen Sie diese Prüfung erneut aus: Dieser Punkt sollte „Gut“ anzeigen. Prüfen Sie dann, ob Ihre wichtigsten Seiten weiterhin normal laden.