HSTS
HSTS is een instructie die een website aan je browser geeft: vanaf het eerste bezoek alleen nog verbinden via versleutelde HTTPS, nooit via gewone http.
Wat is HSTS?
HSTS staat voor HTTP Strict Transport Security. Het is een stukje informatie dat een website naar je browser stuurt, namelijk een header met de naam Strict-Transport-Security. Die zegt tegen de browser: open mij voortaan alleen via versleutelde HTTPS. Gedurende een door de beheerder van de site ingestelde periode wordt de pagina dan niet meer via onversleutelde http:// geladen, ook niet als je het zo intypt of een oude link ernaar verwijst.
Hoe het werkt en waarom het ertoe doet
Ook als een site HTTPS aanbiedt, begint het allereerste verzoek vaak onversleuteld, bijvoorbeeld wanneer je alleen de naam intypt zonder https://. De site stuurt je dan meestal door naar HTTPS, maar die eerste stap kan op onbetrouwbare netwerken, zoals open wifi, worden onderschept of omgeleid. HSTS dicht dit gat: na het eerste bezoek onthoudt de browser de regel en schakelt hij zelf over op HTTPS, zonder eerst te vragen.
Waar je op moet letten
HSTS werkt pas na het eerste geslaagde bezoek en alleen voor de periode die de beheerder heeft opgegeven. Het zorgt voor een versleutelde verbinding met de website, maar zegt niets over of de site zelf te vertrouwen is: frauduleuze sites kunnen ook HTTPS gebruiken. Blijf dus het adres controleren en wees voorzichtig met links in berichten, want HSTS houdt phishing niet tegen. Als je browser bij een HSTS-site een certificaatwaarschuwing toont, is die meestal niet zomaar weg te klikken – dat is bewust zo.
Bij Friendstime
friendsti.me stuurt de HSTS-header, Strict-Transport-Security, mee met een geldigheid van twee jaar, inclusief alle subdomeinen. Open je friendsti.me via http://, dan word je doorgestuurd naar https://. Daardoor is de verbinding met Friendstime na je eerste bezoek altijd versleuteld (TLS), ook als je http:// intypt of een oude link volgt.
Veelgestelde vragen
Wat is het verschil tussen HTTPS en HSTS?
HTTPS is de versleutelde verbinding zelf. HSTS is de instructie aan de browser om een website voortaan alleen via HTTPS te openen. HSTS vervangt HTTPS dus niet; het zorgt ervoor dat HTTPS ook echt wordt gebruikt.
Geldt HSTS voor Friendstime?
Ja. friendsti.me stuurt de HSTS-header mee met een geldigheid van twee jaar, inclusief alle subdomeinen, en stuurt verzoeken via http:// door naar https://. Na je eerste bezoek is de verbinding dus altijd versleuteld (TLS).
Beschermt HSTS me tegen phishing?
Nee. HSTS zorgt alleen voor een versleutelde verbinding met de betreffende website. Een nepsite kan nog steeds HTTPS gebruiken. Controleer dus het adres en wees voorzichtig met links in berichten.
Verwante begrippen
Verwante onderwerpen
Probeer Friendstime
Aanmelden duurt een minuut en is gratis.