HSTS laat browsers een website uitsluitend via HTTPS benaderen. Lees wanneer preload verstandig is en welke fouten lastig terug te draaien zijn.
HTTPS afdwingen in de browser
De header Strict-Transport-Security vertelt een browser dat het domein gedurende max-age alleen via HTTPS mag worden bezocht. includeSubDomains breidt dat uit naar subdomeinen. Dit helpt downgrade naar een onversleutelde verbinding voorkomen.
Begin met een beheerste looptijd
Test eerst of alle relevante pagina’s en subdomeinen goed via HTTPS werken. Verhoog daarna pas de looptijd. Een hoge max-age met includeSubDomains kan slecht ingerichte oude subdomeinen onbereikbaar maken.
Preload vraagt extra zekerheid
Browsers kunnen domeinen vooraf in een preloadlijst opnemen. Dat biedt bescherming bij een allereerste bezoek, maar verwijderen kost tijd. Kies preload pas wanneer langdurig beheer en volledige HTTPS-dekking aantoonbaar op orde zijn.
Wat volgt Kynexis Domeinmonitoring?
De monitor legt de extern waarneembare instellingen en veranderingen vast. Een technische deelcontrole beschrijft één afgebakende instelling op een bepaald moment. Waar een uitkomst niet betrouwbaar te toetsen is, tonen we dat als zodanig. Zo voorkom je dat een onbekende status ten onrechte als veilig wordt gelezen.
Bekijk ook het overzicht van domein- en e-mailbeveiliging of lees meer over Kynexis Domeinmonitoring.
Bronnen