HTTP-Header
Bedeutung des HTTP-Headers Strict-Transport-Security
Strict-Transport-Security weist Browser an, für diesen Host künftig HTTPS zu verwenden.
Bedeutung
Die Website bittet Browser, sich zu merken, dass HTTP auf HTTPS hochgestuft werden soll.
Wo er erscheint
HTTPS-Antworten senden ihn, nachdem die Website für den reinen HTTPS-Zugriff bereit ist.
Was zu prüfen ist
Prüfen Sie max-age, die Subdomain-Abdeckung, die Preload-Bereitschaft und ob jede Subdomain HTTPS bereitstellen kann.
Beispiel
Strict-Transport-Security: max-age=31536000; includeSubDomainsHäufige Werte und Direktiven
max-agemax-age=<seconds>Browser merken sich das reine HTTPS-Verhalten für diese Anzahl von Sekunden.includeSubDomains- Die Regel gilt auch für Subdomains.
preload- Signalisiert die Absicht, Browser-Preload-Listen beizutreten, aber die Preload-Einreichung hat gesonderte Anforderungen.
Referenzen
- Registry
- IANA HTTP Field Name Registry
- Spezifikation
- RFC 6797 Section 6.1
- Leitfaden
- MDN Strict-Transport-Security