Lexikon

HSTS

HSTS ist eine Anweisung einer Website an deinen Browser: Ab dem ersten Besuch soll die Verbindung nur noch verschlüsselt über HTTPS laufen.

Was ist HSTS?

HSTS steht für HTTP Strict Transport Security. Dahinter steckt eine Angabe, die eine Website an deinen Browser schickt, genauer ein Header namens Strict-Transport-Security. Sie sagt dem Browser: Rufe mich künftig nur noch verschlüsselt über HTTPS auf. Für eine Zeit, die der Betreiber festlegt, wird die Seite dann nicht mehr über das unverschlüsselte http:// geladen, selbst wenn du es so eintippst oder ein alter Link darauf zeigt.

Wie es funktioniert und warum es wichtig ist

Auch wenn eine Seite HTTPS anbietet, beginnt der allererste Aufruf oft unverschlüsselt, zum Beispiel wenn du nur den Namen ohne https:// eintippst. Meist wird dann auf HTTPS umgeleitet, doch genau dieser erste Schritt lässt sich in unsicheren Netzen, etwa einem offenen WLAN, abfangen oder umbiegen. HSTS schließt diese Lücke: Nach dem ersten Besuch merkt sich der Browser die Regel und stellt die Verbindung von sich aus auf HTTPS um, ohne erst nachzufragen.

Worauf du achten solltest

HSTS wirkt erst nach dem ersten erfolgreichen Besuch und nur für die Zeit, die der Betreiber angegeben hat. Es sorgt für eine verschlüsselte Verbindung zur Website, sagt aber nichts darüber aus, ob die Seite selbst vertrauenswürdig ist: Auch Betrugsseiten können HTTPS nutzen. Achte deshalb weiter auf die richtige Adresse und sei bei Links in Nachrichten vorsichtig, denn Phishing verhindert HSTS nicht. Zeigt der Browser bei einer HSTS-Seite eine Zertifikatswarnung, lässt sie sich meist nicht einfach wegklicken – das ist gewollt.

Bei Friendstime

friendsti.me sendet die HSTS-Angabe, den Header Strict-Transport-Security, mit einer Gültigkeit von zwei Jahren, einschließlich aller Subdomains. Wer friendsti.me über http:// aufruft, wird auf https:// umgeleitet. Dadurch ist die Verbindung zu Friendstime nach dem ersten Besuch immer verschlüsselt (TLS), auch wenn du http:// eintippst oder einem alten Link folgst.

Häufige Fragen

Was ist der Unterschied zwischen HTTPS und HSTS?

HTTPS ist die verschlüsselte Verbindung selbst. HSTS ist die Anweisung an den Browser, eine Website künftig nur noch über HTTPS aufzurufen. HSTS ersetzt HTTPS also nicht, sondern sorgt dafür, dass es auch wirklich benutzt wird.

Gilt HSTS auch für Friendstime?

Ja. friendsti.me sendet die HSTS-Angabe mit einer Gültigkeit von zwei Jahren, einschließlich aller Subdomains, und leitet Aufrufe über http:// auf https:// um. Nach dem ersten Besuch ist die Verbindung dadurch immer verschlüsselt (TLS).

Schützt HSTS mich vor Phishing?

Nein. HSTS sorgt nur für die verschlüsselte Verbindung zur jeweiligen Website. Eine gefälschte Seite kann trotzdem HTTPS nutzen. Prüfe deshalb die Adresse und sei bei Links in Nachrichten vorsichtig.