Diese Anleitung erklärt, wie man HSTS deaktiviert oder konfiguriert für eine Webseite.

Vorwort

• Wenn HSTS für eine Website aktiviert ist, weist der Server den Besucher der Website (sofern sein Webbrowser kompatibel ist) an, alle unsicheren Links durch sichere Links zu ersetzen.
• Beispiel: http://www.exemple.com/une/page/ wird automatisch durch https://www.exemple.com/une/page/ ersetzt.
• Nach der Aktivierung eines SSL-Zertifikats für eine Website wird HSTS wie folgt konfiguriert: max-age=16000000.

HSTS deaktivieren…

… mit einem CMS (WordPress, Joomla, etc.)

In alle vom CMS generierten Seiten die folgende Zeile einfügen:

header( 'Strict-Transport-Security: max-age=0;' );

Für WordPress ist es z.B. möglich, diese Direktive in die Datei functions.php Ihres Themas einzufügen:

add_action( 'send_headers', 'add_header_xua' );
function add_header_xua() {
header( 'Strict-Transport-Security: max-age=0;' );
}

Mehr Details zu WordPress

… mit einer PHP-Website

Fügen Sie die folgende Zeile in alle PHP-Seiten ein:

header( 'Strict-Transport-Security: max-age=0;' );

Um dies zu tun, ohne jede PHP-Seite einer Website zu ändern, kann die Direktive auto_prepend_file in der Datei .user.ini der betreffenden Website verwendet werden:

auto_prepend_file=/home/clients/xxxx/web/hsts_disable.php

... mit der folgenden Datei hsts_disable.php:

header( 'Strict-Transport-Security: max-age=0;' );

… mit einer statischen Website (nicht PHP)

Diesen Header in eine .htaccess-Datei einfügen:

# BEGIN DISABLE HSTS
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=0; includeSubDomains;"
</IfModule>
# END DISABLE HSTS

HSTS anpassen

header( 'Strict-Transport-Security: max-age=X; includeSubdomains; preload' );

includeSubDomains; ist standardmäßig aktiviert und wie der Name schon sagt, schließt es die Subdomains in die "Strict Transport Security" ein.

Wenn der Besucher eine nicht gesicherte Subdomain besucht, leitet der Browser automatisch zu HTTPS weiter und löst einen Sicherheitsfehler aus.

Falls dieses Verhalten nicht gewünscht ist, muss dieser Header entfernt werden.

Den HSTS-Cache des Browsers löschen…

… auf Chrome

1. In Chrome, geben Sie chrome://net-internals/#hsts ein.
2. Geben Sie den Domainnamen in das Textfeld im Abschnitt „Delete domain security policies“ ein.
3. Klicken Sie auf die Schaltfläche Löschen.
4. Geben Sie den Domainnamen in das Textfeld des Abschnitts „Query HSTS“ ein.
5. Klicken Sie auf die Schaltfläche Abfragen.
6. Die Antwort muss "Not found" (nicht gefunden) sein.

… in Safari

1. Mit Safari beginnen Sie damit, den Browser zu schließen.
2. Löschen Sie die Datei ~/Library/Cookies/HSTS.plist.
3. Öffnen Sie Safari erneut.

… bei Firefox

1. Mit Firefox, schließen Sie alle Registerkarten.
2. Öffnen Sie das Menü von Firefox und klicken Sie auf Verlauf / Verlauf anzeigen.
3. Suchen Sie die Seite, deren HSTS-Einstellungen Sie löschen möchten.
4. Machen Sie einen Rechtsklick auf einen der entsprechenden Einträge.
5. Wählen Sie Diese Seite vergessen.