HTTP Strict Transport Security
HSTS lässt den Browser einen Host für künftige HTTPS-Aufrufe vormerken. Dauer und Subdomain-Abdeckung brauchen eine bewusste Betriebsentscheidung.
HTTPS für künftige Aufrufe merken
HTTP Strict Transport Security, kurz HSTS, wird mit dem Antwortheader Strict-Transport-Security mitgeteilt. Nach dem Empfang über eine sichere HTTPS-Verbindung merkt sich der Browser, diesen Host während der Geltungsdauer nur über HTTPS aufzurufen. Künftige HTTP-Adressen werden entsprechend umgeschrieben. HSTS stellt selbst kein Zertifikat aus und repariert keine TLS-Fehler.
Geltungsbereich vor dem Setzen prüfen
Eine fiktive HTTPS-Antwort von portal.example enthält Strict-Transport-Security: max-age=3600. Der Beispielwert entspricht 1 Stunde und ist kein allgemeiner Produktionszielwert. Der Browser kann die Regel für diesen Host speichern. Das spätere Weglassen des Headers hebt eine bereits gespeicherte Regel nicht sofort auf; ihre Geltungsdauer läuft weiter.
Der Zusatz includeSubDomains würde auch untergeordnete Hosts erfassen. Vor einer solchen Ausweitung muss das Team prüfen, ob alle betroffenen Dienste zuverlässig über HTTPS erreichbar sind. Eine übergeordnete Domain oder ein danebenliegender Host wird dadurch nicht automatisch erfasst.
Hat der Browser die Regel noch nicht gelernt und liegt kein passender Preload-Eintrag vor, schützt diese gespeicherte Richtlinie den ersten HTTP-Aufruf noch nicht. Preloading ist ein gesondertes Verfahren.
Quellen
Verwandte Begriffe
- HttpOnly-CookieHttpOnly verhindert den direkten Cookiezugriff durch Seitenskripte. Passende Anfragen können das Cookie weiterhin mitsenden; die Sitzung bleibt zu prüfen.
- SameSite-CookieSameSite beeinflusst das Mitsenden von Cookies bei websiteübergreifenden Anfragen. Die Wahl muss zu Anmeldung und Navigation passen; CSRF-Schutz bleibt nötig.
- Content Security Policy (CSP)Eine CSP begrenzt im Browser etwa erlaubte Skriptquellen. Eine nur meldende Richtlinie beobachtet Verstöße, setzt diese Regeln aber nicht durch.
- DatenminimierungDatenminimierung begrenzt personenbezogene Daten auf das, was für einen festgelegten Zweck angemessen, relevant und erforderlich ist.
- DatenaufbewahrungsregelEine Datenaufbewahrungsregel legt Zweck, Beginn, Dauer und Ende der Speicherung fest. Löschaufträge und Kopien müssen technisch berücksichtigt werden.
- Envelope EncryptionEnvelope Encryption trennt den Schlüssel für die Daten vom Schlüssel, der diesen schützt. Verschlüsselte Datei und verpackter Datenschlüssel gehören zusammen.
Ihr Vorhaben mit ASES
Beschreiben Sie uns Ihr Vorhaben. Wir melden uns mit einer ersten Einschätzung.