HSTS (Strict-Transport-Security)

P2W

Hi Pascal
seit ich meine Kundenwebseiten mit HTProtect Tool schütze, habe ich das Problem das wenn ich ein Check auf https://hstspreload.org/ mache, bekomme ich bei einige 1* Error: No HSTS headerResponse (error: No HSTS header is present on the response) und einige 2* Error: No preload directive (The header must contain the preload directive).

Muss dazu sagen dass bei alle meine Webseiten HSTS eigentlich durch den Joomla Plugins: System - HTTP Headers gesteuert ist.
Wenn ich im HTProtect Tool unter Response headers HSTS einschalte bekomme ich die Fehlermeldung 1* wenn es im HTProtect Tool ausgeschaltet bleibt bekomme ich die Fehlermeldung 2*

Hast du ein Tip woran es liegen könnte?
P2W

Pascal

Hi P2W,

hstspreload.org prüft nicht, ob HSTS funktioniert, sondern nur, ob eine Domain auf die (optionale) Preload-Liste der Browser darf. Der HSTS-Schutz läuft.

Wichtig ist nur, dass HSTS von einer Stelle kommt, nicht von zweien. Am einfachsten für dich: bleib beim Plugin System - HTTP Headers, das du eh schon nutzt, und lass in HTProtect den Schalter "HSTS aktivieren" einfach aus. Dann fasst HTProtect den HSTS-Header gar nicht an - es überschreibt und entfernt nichts, das Plugin steuert HSTS allein. Kein Konflikt. (Nebenbei: die Joomla-Standard-.htaccess setzt selbst gar kein HSTS - der Header kommt also ohnehin nur vom Plugin.)

Die Meldung "No preload directive" ist kein echtes Problem. Preload ist eine kaum umkehrbare Verpflichtung (die Domain steckt fest in den Browsern, ein Rückzug dauert Monate, und alle Subdomains müssen dauerhaft HTTPS liefern). Nur wenn du eine Domain wirklich auf die Preload-Liste bringen willst, kannst du das direkt im Plugin machen: bei HSTS zusätzlich die Optionen für Subdomains und Preload einschalten (das max-age steht dort schon auf 1 Jahr).

Gruß
Pascal