HTTP Strict Transport Security (HSTS) is een belangrijk mechanisme dat helpt bij het waarborgen van veilige webverbindingen. In dit artikel wordt dieper ingegaan op de werking van HSTS, de parameters ervan en de implementatiestappen voor websites.

HTTP Strict Transport Security (HSTS) is een beveiligingsmaatregel voor websites om te waarborgen dat verbindingen met de site alleen via een veilige HTTPS-verbinding worden uitgevoerd. Dit voorkomt dat aanvallers of kwaadaardige netwerken de verbinding kunnen 'downgraden' naar een onbeveiligde HTTP-verbinding.

Hoe werkt HSTS?

Wanneer een browser een website met HSTS voor het eerst bezoekt, ontvangt deze een HTTP-header met de HSTS-instellingen van de site. De browser onthoudt deze instellingen voor de gespecificeerde periode en zal in die tijd alleen veilige HTTPS-verbindingen met de site toestaan, zelfs als de gebruiker expliciet HTTP invoert.

HSTS-syntaxis:

De HSTS-header heeft verschillende parameters die de werking ervan definiëren:

• max-age: Dit definieert hoe lang (in seconden) de browser zich moet houden aan de HSTS-regels voor de site.
• includeSubDomains (optioneel): Als deze parameter is opgegeven, betekent dit dat HSTS ook van toepassing is op alle subdomeinen van de site.
• preload (optioneel): Dit suggereert dat de site wordt opgenomen in de HSTS preload lijst, wat betekent dat webbrowsers de site al kennen als een HSTS-site nog voordat ze het voor de eerste keer bezoeken.

Voorbeeld:

De aanbevolen waarde voor de HSTS-header volgens hstspreload.org is: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

Deze header betekent dat de browser zich 2 jaar (63.072.000 seconden) moet houden aan de HSTS-regels voor zowel het hoofddomein als alle subdomeinen van de site.

HSTS op de website implementeren:

1. Configuratiebestand: Log in op je webhostingaccount. Zoek naar het .htaccess-bestand (voor Apache servers) en open het. Als het niet bestaat, maak er dan een aan.
2. Toevoegen van HSTS-header: Voeg de volgende regels toe:

Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

1. Opslaan en Testen: Sla het bestand op en test de implementatie op hstspreload.