HSTS ontbreekt

Waarom het belangrijk is

Zonder de HSTS-header kan iemand op hetzelfde open wifi-netwerk tijdens die eerste stap ertussen komen en de bezoeker naar een nep-pagina sturen. Met HSTS gaat de browser direct naar https.

Hoe Snaglist dit controleert

Dit hoort bij de veiligheidscheck, een eigen check naast de crawl, in Studio en Bureau, en alleen op een site die je hebt geverifieerd. Snaglist kijkt alleen naar wat elke bezoeker van buitenaf kan zien. Hij logt nooit in, raadt geen wachtwoorden en stuurt geen aanvallen. Hij leest de response-headers van de homepage en controleert of Strict-Transport-Security aanwezig is.

Veelvoorkomende oorzaken

• De header is nooit aangezet
• De host voegt deze niet standaard toe
• Het is uitgezet na een probleem met een subdomein

Hoe je het oplost

1. Zorg er eerst voor dat de hele site op https werkt.
2. Voeg de header Strict-Transport-Security toe met max-age=31536000.
3. Voeg alleen includeSubDomains toe als elk subdomein op https werkt.
4. Draai de veiligheidscheck opnieuw ter controle.

Zo staat het in het rapport

In het rapport voor je klant staat dit onder de kop "De browser onthoudt niet dat je site beveiligd is". Is alles in orde, dan meldt het rapport: "De browser onthoudt dat de site beveiligd is (HSTS)".