Glossar · Sicherheit
HSTS
HSTS verbietet dem Browser den unverschlüsselten Abruf einer Seite: einmal gesetzt, gilt nur noch HTTPS. Wie der Schutzschalter funktioniert.
So funktioniert es
Der Server sendet mit der Antwort einen Schalter: Diese Domain nur noch per HTTPS, für die genannte Dauer. Der Browser merkt es sich und verweigert jeden unverschlüsselten Versuch von selbst, auch gegen Klicks und alte Lesezeichen. Der erste Besuch setzt den Schutz, jeder weitere erbt ihn.
Die Lücke ist der erste Besuch: Wer ihn abfängt, fängt alles ab. Darum gibt es die Preload-Liste der Browser: Wer darin steht, gilt schon beim ersten Mal als nur-HTTPS. Der Eintrag ist freiwillig und fast nicht rückgängig zu machen.
Warum es wichtig ist
Nutzer klicken, was da steht, und Angreifer schreiben http davor: Ohne HSTS folgt der Browser, mit verweigert er. Der Schalter kostet eine Antwortzeile und schließt die billigste Form des Lauschens.
Er schützt die Domain, nicht den Inhalt: Was die Seite preisgibt, bleibt ihre Sache. Subdomains brauchen ihn auch, per eigenem Schalter oder Vererbung.
Bei obhut
Diese Website sendet HSTS: Browser rufen sie nur verschlüsselt auf, wie die Datenschutzerklärung festhält. Der Edge terminiert TLS für jeden Hostnamen, den er bedient.
