Meldet unser Website-Check „HSTS nicht aktiviert“, sagt Ihre Website den Browsern noch nicht, dass sie immer per HTTPS aufgerufen werden soll.
Was HSTS bringt
- Der Browser ruft Ihre Seite nach dem ersten Besuch nur noch verschlüsselt auf – auch wenn jemand „http://“ eintippt oder einem alten Link folgt.
- Das schützt Formulare, Anfragen und Logins Ihrer Kunden, zum Beispiel bei Probefahrt- oder Werkstatt-Terminen.
- Es spart eine Weiterleitung und damit ein paar Millisekunden Ladezeit.
Vorher prüfen
Aktivieren Sie HSTS nur, wenn alle Seiten sicher per HTTPS laufen. Mit der Option „Subdomains einschließen“ gilt das auch für shop., portal., mail. usw. Browser merken sich HSTS für die eingestellte Dauer – ein Rückweg zu HTTP ist dann nicht schnell möglich.
In Cloudflare aktivieren
- Cloudflare → Ihre Domain → SSL/TLS → Edge Certificates.
- Bei HTTP Strict Transport Security (HSTS) auf „Enable HSTS“ klicken und den Hinweis bestätigen.
- Max-Age zuerst kurz wählen (z. B. 1 Monat), später auf 6–12 Monate erhöhen.
- „Include subdomains“ nur einschalten, wenn wirklich alle Subdomains HTTPS haben. „Preload“ zunächst aus lassen.
Ohne Cloudflare
Auf dem eigenen Server wird HSTS als Antwort-Header gesetzt, zum Beispiel in der Apache- oder Nginx-Konfiguration. Ihr Hoster oder wir helfen dabei.
Danach prüfen Sie mit dem HSTS-Prüfer oder einer kompletten Prüfung. Mehr zu Sicherheit und E-Mail: Sicherheit & E-Mail · Projekt starten