HSTS: Browser auf HTTPS festlegen

HSTS (HTTP Strict Transport Security) ist ein Antwortkopf, mit dem eine Website dem Browser sagt, dass er sie für eine festgelegte Zeit nur noch über HTTPS aufrufen darf. Der Browser schreibt dann jede http-Adresse selbst auf https um und lässt bei Zertifikatsfehlern kein Weiterklicken mehr zu.

Schmale Steinbrücke führt zu einem geschlossenen eisernen Tor einer alten Burg in der Dämmerung, daneben eine brennende Laterne
Bild: KI-generiert

Auch wenn eine Website auf HTTPS umgestellt ist, ruft ein Browser sie manchmal zuerst über unverschlüsseltes HTTP auf, etwa wenn jemand die Adresse ohne https eintippt oder einem alten Link folgt. In diesem Moment kann ein Angreifer im selben Netz die Verbindung abfangen, bevor die Weiterleitung greift. HSTS schließt diese Lücke für alle weiteren Besuche. Die Regel ist seit November 2012 in RFC 6797 festgelegt [1].

So sieht der HSTS-Header aus

Die Website schickt bei einer HTTPS-Antwort den Kopf Strict-Transport-Security mit. Ein Beispiel für eine Gültigkeit von einem Jahr samt Subdomains [2]:

Strict-Transport-Security: max-age=31536000; includeSubDomains

max-age ist Pflicht und nennt in Sekunden, wie lange sich der Browser die Regel merkt. Der Wert 0 löscht sie wieder. includeSubDomains ist freiwillig und dehnt die Regel auf alle Subdomains aus [1]. Kommt der Kopf über einfaches HTTP an, muss der Browser ihn ignorieren [1]. So kann niemand im Netz eine Regel unterschieben oder vorzeitig abschalten [2].

Was der Browser mit HSTS macht

Kennt der Browser eine Website als HSTS-Host, wandelt er jede http-Anfrage an sie vor dem Senden in https um. Tritt beim Aufbau der sicheren Verbindung ein Zertifikats- oder Übertragungsfehler auf, bricht er ab. Die Warnseite hat dann keinen Knopf zum Weiterklicken mehr [1]. Ein abgelaufenes Zertifikat sperrt Besucher damit vollständig aus, bis es erneuert ist. Gerade bei kurzen Laufzeiten ist eine automatische Erneuerung deshalb wichtig, siehe Laufzeit von SSL-Zertifikaten.

Die Preload-Liste

HSTS wirkt erst, wenn der Browser die Website einmal über HTTPS besucht und den Kopf gelesen hat. Für den allerersten Besuch gibt es die Preload-Liste, die Google pflegt und die in Chrome eingebaut ist. Firefox, Safari und Edge nutzen Listen, die auf ihr beruhen [3]. Für die Aufnahme verlangt hstspreload.org ein gültiges Zertifikat, die Weiterleitung von HTTP auf HTTPS, HTTPS auf allen Subdomains und einen Kopf mit max-age von mindestens 31536000 Sekunden, includeSubDomains und preload [3].

Dickes geschlossenes Register mit Ledereinband auf einem hölzernen Pult in einer ruhigen Bibliothek bei Lampenlicht
Bild: KI-generiert

HSTS einführen

Bevor du HSTS setzt, sollte die Umstellung auf HTTPS vollständig laufen, auch für Subdomains, die nur intern genutzt werden. hstspreload.org empfiehlt, max-age in Stufen zu erhöhen: zuerst 5 Minuten (300), dann eine Woche (604800), dann einen Monat (2592000). Auf jeder Stufe prüfst du die Seiten und wartest die volle Zeit ab, bevor du weitergehst [3]. Den Kopf setzt du in der Serverkonfiguration oder in der .htaccess. Cookies sicherst du zusätzlich mit dem Attribut Secure, das erklärt cookie.domain-root.de.

  1. Gesetz RFC 6797: HTTP Strict Transport Security (HSTS). IETF. Stand November 2012. abgerufen am 29.10.2026
  2. Organisation Strict-Transport-Security header. MDN Web Docs, Mozilla. Stand laufend. abgerufen am 29.10.2026
  3. Organisation HSTS Preload List Submission. hstspreload.org, Google. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.

Weitere Artikel