Je winkelwagen is leeg
Producten die je toevoegt, verschijnen hier.
HSTS (HTTP Strict Transport Security) is een instructie van je webserver aan de browser om je site voortaan alleen via HTTPS te bezoeken. De browser onthoudt dat voor een vaste periode. Typt een bezoeker daarna http://jouwdomein.nl, dan maakt de browser er zelf https:// van.
Je stelt HSTS in met de HTTP-header Strict-Transport-Security, bijvoorbeeld met de waarde max-age=31536000; includeSubDomains. De max-age staat in seconden, dus 31536000 is één jaar, en includeSubDomains laat de regel ook gelden voor al je subdomeinen. Komt de header via gewoon HTTP binnen, dan negeert de browser hem.
HSTS beschermt tegen SSL-stripping, een aanval waarbij iemand op hetzelfde wifi-netwerk een HTTPS-verbinding ongemerkt in HTTP verandert. Een gewone redirect naar HTTPS houdt dat niet tegen. HSTS wel, omdat de browser het onveilige verzoek helemaal overslaat. Bovendien kan een bezoeker een certificaatfout dan niet meer wegklikken.
Eén zwak punt blijft over: het allereerste bezoek. Daarvoor bestaat de HSTS-preloadlijst, die in grote browsers is ingebouwd. Aanmelden via hstspreload.org vraagt een max-age van minstens een jaar, plus includeSubDomains en preload. Een vermelding op die lijst terugdraaien duurt maanden, dus zet HSTS pas aan als al je subdomeinen goed via HTTPS werken.
Op je hosting zet je de header bovenaan in het bestand .htaccess in public_html, samen met een redirect van HTTP naar HTTPS. De regel ziet er zo uit: Header set Strict-Transport-Security "max-age=31536000; includeSubDomains" env=HTTPS. Begin gerust met max-age=300, vijf minuten, en verhoog de waarde stap voor stap zolang er niets breekt. Laat preload weg tot je je domein echt bij de preloadlijst wilt aanmelden.
Geschiedenis
HSTS bouwt voort op ForceHTTPS, een onderzoek uit 2008 van Collin Jackson en Adam Barth. In 2009 liet Moxie Marlinspike op Black Hat zien hoe makkelijk SSL-stripping werkt. Datzelfde jaar publiceerden Jeff Hodges (PayPal), Jackson en Barth het eerste ontwerp van de specificatie (Wikipedia).
Belangrijke mijlpalen:
- 2008: Jackson en Barth beschrijven ForceHTTPS
- 2009: Moxie Marlinspike demonstreert SSL-stripping; op 18 september verschijnt het eerste HSTS-ontwerp
- November 2012: HSTS wordt vastgelegd in RFC 6797
- Nu: Chrome beheert de HSTS-preloadlijst; Firefox, Safari en Edge gebruiken lijsten die daarop zijn gebaseerd
Bronnen
- IETF (2012) - RFC 6797 - HTTP Strict Transport Security (HSTS)
- MDN Web Docs - Strict-Transport-Security header
- Chromium - HSTS Preload List Submission
- OWASP - HTTP Strict Transport Security Cheat Sheet
- Wikipedia - HTTP Strict Transport Security