Scanner voor zwakke HSTS
Detecteert een HSTS-header met een lage max-age of zonder includeSubDomains die ruimte voor downgrade laat.
Wat het checkt
Deze scanner bekijkt je HSTS-header en detecteert wanneer die een te lage max-age heeft of het attribuut includeSubDomains mist. Zo herkent hij HSTS-configuraties die misbruikbare gaten laten.
Waarom het belangrijk is
HSTS dwingt browsers om altijd HTTPS met je site te gebruiken, maar als de duur erg kort is of het de subdomeinen niet dekt, blijven er momenten waarop een aanvaller een onversleutelde verbinding kan afdwingen. Dat gat maakt downgrade-aanvallen mogelijk die het verkeer onderscheppen.
Hoe je het oplost
Stel de HSTS-header in met een lange max-age (meestal een jaar, oftewel 31536000 seconden) en voeg includeSubDomains toe om het hele domein te dekken. Dit doe je meestal in de configuratie van je server of CDN, en het is verstandig om eerst met een kleinere waarde te testen als je twijfelt.
Check het op je site
Scan je site gratis en zie of deze en 44 andere checks slagen, met een fixprompt voor elk probleem.
Mijn site gratis scannen