HSTS fehlt

Warum es wichtig ist

Ohne den HSTS-Header kann jemand im selben offenen WLAN während dieses ersten Schritts eingreifen und den Besucher auf eine gefälschte Seite umleiten. Mit HSTS geht der Browser jedes Mal direkt zu https.

Wie Snaglist es prüft

Das ist Teil der Sicherheitsprüfung, eine separate Überprüfung neben dem Crawl, in Studio und Bureau, und nur auf einer verifizierten Website. Snaglist prüft nur, was jeder Besucher von außen sehen kann. Es loggt sich nie ein, rät keine Passwörter und führt keine Angriffe aus. Es liest die Antwort-Header der Startseite und prüft, ob Strict-Transport-Security vorhanden ist.

Häufige Ursachen

• Der Header wurde nie aktiviert
• Der Hoster fügt ihn nicht standardmäßig hinzu
• Er wurde nach einem Problem mit einer Subdomain deaktiviert

So behebst du es

1. Stelle sicher, dass die gesamte Website zuerst über https funktioniert.
2. Füge den Header Strict-Transport-Security mit max-age=31536000 hinzu.
3. Füge includeSubDomains nur hinzu, wenn jede Subdomain über https funktioniert.
4. Führe die Sicherheitsprüfung erneut aus, um es zu bestätigen.

So wird es im Bericht dargestellt

Im Bericht für deinen Kunden erscheint das unter der Überschrift „Browser merken sich nicht, dass deine Seite sicher ist“. Wenn alles in Ordnung ist, steht im Bericht: „Browser merken sich, dass die Seite sicher ist (HSTS)“.