HSTS-Verwalten einer Website/Hosting

In diesem Leitfaden wird erläutert, wie HSTS deaktivieren oder einstellen für eine Website.

Präambel

• Wenn HSTS für eine Website aktiviert ist, teilt der Server dem Website-Besucher (wenn sein Webbrowser kompatibel ist) mit, alle ungesicherten Links durch sichere Links zu ersetzen.
• Beispiel: http://www.exemple.com/une/page/ wird automatisch ersetzt durch https://www.exemple.com/une/page/.
• Nach der Aktivierung eines SSL-Zertifikats auf einer Website wird das HSTS wie folgt konfiguriert: max-age=16000000.

HSTS deaktivieren...

... mit einem CMS (WordPress, Joomla, etc.)

Auf allen Seiten, die vom CMS generiert werden, ist folgende Zeile einzufügen:

header( 'Strict-Transport-Security: max-age=0;' );

Für WordPress ist es möglich, diese Direktive in die Datei hinzuzufügen. functions.php Ihrem Thema:

add_action( 'send_headers', 'add_header_xua' );
function add_header_xua() {
header( 'Strict-Transport-Security: max-age=0;' );
}

Weitere Details auf WordPress

... mit einer PHP-Website

In alle php-Seiten die folgende Zeile einfügen:

header( 'Strict-Transport-Security: max-age=0;' );

Um dies zu tun, ohne jede php-Seite einer Website ändern zu müssen, ist es möglich, die Richtlinie zu verwenden auto_prepend_file in der Datei .user.ini des betreffenden Standorts:

auto_prepend_file=/home/clients/xxxx/web/hsts_disable.php

... mit der Datei hsts_disable.php Nächstes Mal:

header( 'Strict-Transport-Security: max-age=0;' );

... mit einer Website mit statischem Inhalt (nicht PHP)

Diesen Header in eine Datei einfügen.htaccess:

# BEGIN DISABLE HSTS
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=0; includeSubDomains;"
</IfModule>
# END DISABLE HSTS

HSTS anpassen

header( 'Strict-Transport-Security: max-age=X; includeSubdomains; preload' );

includeSubDomains; ist standardmäßig aktiviert und wie der Name schon sagt, werden Subdomains in die "Strict Transport Security" aufgenommen.

Wenn der Besucher eine ungesicherte Subdomain fährt, wird der Browser automatisch zum HTTPS umleiten und einen Sicherheitsfehler verursachen.

Wenn dieses Verhalten nicht gewünscht wird, muss dieser Kopfzeile entfernt werden.

HSTS-Cache aus dem Browser löschen

Zu diesem Zweck:

1. In Chrome, tippen SieChrom://net-internals/#hsts
2. Geben Sie den Domainnamen in das Textfeld des Abschnitts "Delete domain security policies" ein.
3. Klicken Sie auf die Schaltfläche Delete.
4. Geben Sie den Domainnamen in das Textfeld des Abschnitts "Query HSTS" ein.
5. Klicken Sie auf die Schaltfläche Query.
6. Die Antwort muss lauten: "Not found" (nicht gefunden).

1. Mit Safari schliessen Sie zunächst den Browser.
2. Datei löschen~/Library/Cookies/HSTS.plist.
3. Rufen Sie Safari auf.

1. Schließen Sie mit Firefox alle Registerkarten.
2. Öffnen Sie das Firefox-Menü und klicken Sie auf Historie / Historie anzeigen.
3. Suchen Sie nach der Seite, deren HSTS-Einstellungen Sie entfernen möchten.
4. Klicken Sie mit der rechten Maustaste auf einen der entsprechenden Einträge.
5. Wählen Sie Diese Seite vergessen.