HSTS-Header: so erzwingt der Browser immer HTTPS

Was ist der HSTS-Header?

HSTS steht für HTTP Strict Transport Security. Ein Header ist eine Zeile, die der Server zusammen mit der Seite an den Browser schickt. Der HSTS-Header enthält eine Dauer in Sekunden, genannt max-age. Solange diese läuft, merkt sich der Browser: Diese Domain wird nur über https geöffnet, auch wenn jemand «http://» eintippt. Der Browser macht die Umstellung dann selbst und fragt den Server gar nicht erst unverschlüsselt an. Der Header wird nur über eine verschlüsselte Verbindung beachtet.

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Eine Weiterleitung von http auf https hat eine Schwachstelle: Der allererste Aufruf geht unverschlüsselt los und kann in einem fremden Netz abgefangen oder umgelenkt werden. HSTS verringert dieses Risiko, weil der Browser diesen Schritt überspringt. Auf das Ranking hat der Header keinen belegten direkten Einfluss. Er stärkt aber die Verlässlichkeit Ihrer verschlüsselten Adresse und damit das Vertrauen von Besuchern. Programme von Suchmaschinen und KI-Assistenten rufen Ihre Seite ohnehin über https ab, für sie ändert sich meist nichts.

So prüfen Sie es selbst

Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers (meist Taste F12), wählen Sie den Reiter «Netzwerk», laden Sie die Seite neu und klicken Sie auf die erste Zeile. Unter «Antwort-Header» suchen Sie «strict-transport-security». Im Terminal geht es mit dem Befehl unten. Der Wert max-age=15552000 entspricht 180 Tagen. Der Gratis-Check von KI-Sichtradar liest den Header ebenfalls aus und liefert nur einen Hinweis, keinen Sicherheitstest. Ein Wert von 0 oder wenigen Sekunden bedeutet, dass die Regel nur kurz gilt. Prüfen Sie den Header auch nach jeder Änderung am Server.

curl -sI https://ihre-firma.ch | grep -i strict-transport-security

strict-transport-security: max-age=15552000

So beheben Sie es

Wichtig: HSTS lässt sich schwer zurücknehmen. Browser behalten die Regel bis zum Ablauf der Dauer. Läuft Ihre Seite oder eine Unterseite später doch ohne gültiges Zertifikat, sind Besucher ausgesperrt. Starten Sie deshalb mit einer kurzen Dauer, zum Beispiel fünf Minuten, prüfen Sie alles, und erhöhen Sie schrittweise auf 180 Tage oder mehr. Die Option includeSubDomains gilt auch für alle Subdomains, setzen Sie sie nur, wenn alle verschlüsselt laufen. Die Umsetzung gehört in die Hand der Person, die Ihre Website betreut, und erst nach einer Sicherung.

# Apache (.htaccess), Testphase: 5 Minuten
Header always set Strict-Transport-Security "max-age=300"

# später: 180 Tage
Header always set Strict-Transport-Security "max-age=15552000"

# nginx
add_header Strict-Transport-Security "max-age=300" always;

1. Stellen Sie sicher, dass die ganze Website und alle Subdomains zuverlässig über https laufen.
2. Machen Sie eine Sicherung, und lassen Sie den Header vom Webdesigner oder Hoster setzen.
3. Starten Sie mit max-age=300 und prüfen Sie ein paar Tage lang alle Seiten und Formulare.
4. Erhöhen Sie die Dauer schrittweise bis mindestens 15552000 Sekunden (180 Tage).
5. Verzichten Sie auf includeSubDomains und preload, solange Sie nicht alle Subdomains kennen.