HSTS (HTTP Strict Transport Security)

Wat is HSTS?

HSTS (HTTP Strict Transport Security) is een webbeveiligingsmechanisme dat browsers vertelt alleen te communiceren met een website via HTTPS, nooit HTTP. Zodra een browser een HST-header ziet, zal het automatisch alle toekomstige verzoeken upgraden naar HTTPS en weigeren verbinding te maken via gewone HTTP, zelfs als de gebruiker expliciet http://. typt

Waarom HST-zaken

Zelfs met een geldig SSL-certificaat bestaan kwetsbaarheden:

SSL Stripping Attack

1. Gebruikerstypen "example.com" (geen https://)

2. Aanvaller onderschept het oorspronkelijke HTTP-verzoek

3. Attacker proxies aan HTTPS, presenteert HTTP aan gebruiker

4. Gebruiker denkt dat ze veilig zijn, maar aanvaller ziet alles

HST voorkomt dit door ervoor te zorgen dat browsers nooit dat eerste HTTP-verzoek maken.

Voordelen van HSTS

• Voorkomt downgrade aanvallen: Geen HTTP terugval mogelijk
• Beschermt gebruikersbladwijzers: Zelfs oude HTTP bladwijzers worden HTTPS
• Elimineert gemengd gehalte: Submiddelen ook gedwongen tot HTTPS
• Verbetert prestaties: Geen HTTP→HTTPS redirects nodig

HSTS Header Syntax

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Richtlijnen

Uitvoering van HST's

Nginx

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Apache

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Cloudflare

Inschakelen in SSL/TLS → Randcertificaten → HTTP Strict Transport Security

Express.js

const helmet = require('helmet');
app.use(helmet.hsts({
  maxAge: 31536000,
  includeSubDomains: true,
  preload: true
}));

HSTS-preloadlijst

De HSTS preload lijst is een lijst van domeinen hardgecodeerd in browsers die alleen ooit via HTTPS moeten worden geopend. Dit elimineert zelfs de eerste HTTP-aanvraag kwetsbaarheid.

Preloadvereisten

1. Geldig SSL certificaat

2. Alle HTTP doorsturen naar HTTPS

3. HST-header met:

• ten minste 31536000 (1 jaar)
• omvattenSubDomains-richtlijn
• voorbelastingsrichtlijn

Verzenden naar preloadlijst

1. Verifiëren van vereisten: Gebruik hstspreload.org om te controleren

2. Domein verzenden: Voer domein in bij hstspreload.org

3. Wacht op opname: Duurt weken tot maanden voor browser-updates

Waarschuwingen voor laden

Controle van HST's

1. Open DevTools → tabblad Netwerk

2. Laad de site

3. Controleer antwoord Headers voor Strict-Transport-Veiligheid

curl -I https://example.com | grep -i strict

curl "https://domscan.net/v1/health?domain=example.com"
# Reports hasHSTS in security details

Controleer hstspreload.org om te zien of een domein is voorgeladen.

HST-implementatiestrategie

Fase 1: Korte maximumleeftijd

Begin met een korte max-leeftijd om te testen:

Strict-Transport-Security: max-age=300

Fase 2: Duur verhogen

Na bevestiging werkt HTTPS overal:

Strict-Transport-Security: max-age=86400

Fase 3: Subdomeinen toevoegen

Zodra alle subdomeinen HTTPS ondersteunen:

Strict-Transport-Security: max-age=2592000; includeSubDomains

Fase 4: volledige inzet + voorbelasting

Na maanden van stabiele werking:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Gemeenschappelijke HST-vraagstukken

HSTS is essentieel voor elke website die gevoelige gegevens verwerkt en sterk aanbevolen voor alle HTTPS-sites.