STATUS IS UPWEBSITE-BEREITSCHAFT
Deutsch
Betreiberbereich
SIU erkunden

Readiness-Prüfung · Bereich Absichern · Gewichtung 7

HSTS für mindestens ein Jahr beibehalten

Die Startseite sendet Strict-Transport-Security mit einem max-age von mindestens 31536000 Sekunden (einem Jahr).

Beobachtet auf
31%

von 144,624 gemessenen Websites

Top-1K-Websites
48%

286 gemessen

Top-1M-Gruppe
27%

79,142 gemessen

Nicht gemessen
41,432

blockiert, durch eine Sicherheitsabfrage eingeschränkt oder nicht anwendbar

Warum das wichtig ist

HSTS weist Browser an, bei jedem späteren Besuch HTTPS für Ihren Host zu verwenden. Dadurch entfällt das Zeitfenster, in dem eine erste HTTP-Anfrage abgefangen werden kann.

So beheben Sie das Problem

Senden Sie Strict-Transport-Security in HTTPS-Antworten. Beginnen Sie mit einem kurzen max-age (zum Beispiel 300 Sekunden), prüfen Sie, ob jede Subdomain über HTTPS funktioniert, und erhöhen Sie den Wert dann schrittweise auf 31536000. Fügen Sie includeSubDomains nur hinzu, wenn alle Subdomains HTTPS verwenden. Das Preloading von HSTS ist optional und schwer rückgängig zu machen; hstspreload.org selbst empfiehlt es nicht standardmäßig.

So prüfen wir

Die Startseite sendet Strict-Transport-Security mit einem max-age von mindestens 31536000 Sekunden (einem Jahr).

Beobachtet: HSTS vorhanden mit einem max-age von einem Jahr oder mehr.

Nicht beobachtet: HSTS fehlt oder ist auf weniger als ein Jahr eingestellt.

Einschränkung: Nur aus der Antwort der Startseite ausgelesen; andere Seiten oder Regionen können andere Header senden.

Stack-spezifische Schritte

  • Cloudflare: Aktivieren Sie HSTS unter SSL/TLS > Edge-Zertifikate > HTTP Strict Transport Security und erhöhen Sie max-age schrittweise.
  • Amazon CloudFront: Verknüpfen Sie jede Distribution mit einer Antwortheader-Richtlinie, die Strict-Transport-Security enthält.
  • Next.js: Fügen Sie den Header in der Option headers() von next.config.js für alle Routen hinzu.
  • Fastly: Fügen Sie den Header in VCL oder einer Header-Regel hinzu, wie im HSTS-Leitfaden von Fastly beschrieben.
  • Azure Front Door/CDN: Fügen Sie in einem Front Door-Regelsatz eine Aktion für Antwortheader hinzu.
  • Vercel: Deklarieren Sie den Header im Abschnitt headers von vercel.json.

Nach Popularitätsgruppe

Chrome UX Report-BereichBeobachtetGemessen
Top 1.00048%286
Top 5.00039%1,309
Top 10.00040%1,653
Top 50.00036%12,752
Top 100.00036%12,036
Top 500.00035%37,446
Top 1 Mio.27%79,142

Kategorien, in denen dies am wahrscheinlichsten ist

Kategorien, in denen dies am wenigsten wahrscheinlich ist

Nach Technologie-Stack

Nach Anbieter

Beliebte Websites, auf denen wir dies beobachtet haben

Quellen und Leitfäden

Leitfaden: HTTPS- und TLS-Leitfaden für Website-BetreiberPrüfen Sie Ihre eigene Website