Meldt onze websitecheck „HSTS niet ingeschakeld”, dan vertelt uw website browsers nog niet dat ze haar altijd via HTTPS moeten openen.
Wat HSTS oplevert
- Na het eerste bezoek opent de browser uw site alleen nog versleuteld – ook als iemand „http://” typt of een oude link volgt.
- Dat beschermt formulieren, aanvragen en accounts van uw klanten, bijvoorbeeld bij proefritten of werkplaatsafspraken.
- Het bespaart een doorverwijzing en zo een paar milliseconden laadtijd.
Eerst controleren
Schakel HSTS alleen in als alle pagina's veilig via HTTPS werken. Met „subdomeinen opnemen” geldt het ook voor shop., portal., mail. enzovoort. Browsers onthouden HSTS voor de ingestelde duur – snel terug naar HTTP kan dan niet.
Inschakelen in Cloudflare
- Cloudflare → uw domein → SSL/TLS → Edge Certificates.
- Bij HTTP Strict Transport Security (HSTS) op „Enable HSTS” klikken en de melding bevestigen.
- Kies eerst een korte max-age (bijv. 1 maand) en verhoog later naar 6–12 maanden.
- „Include subdomains” alleen aanzetten als echt alle subdomeinen HTTPS hebben. „Preload” voorlopig uit laten.
Zonder Cloudflare
Op een eigen server wordt HSTS als response-header ingesteld, bijvoorbeeld in de Apache- of Nginx-configuratie. Uw hoster – of wij – helpen daarbij.
Controleer daarna met de HSTS-checker of een volledige controle. Project starten