Vorhaben besprechen

TOOLBOX · SECURITY-CHECK

WEITERLEITUNGENPRÜFEN.

Wohin führt Ihre Domain, wenn jemand sie ohne https:// oder ohne www eintippt? Domain eingeben und jede Station der Kette sehen, mit Statuscode, HSTS und Note.

Die Bot-Prüfung schützt die Toolbox vor automatisiertem Missbrauch.

Wir rufen Ihre Domain über http:// und https://, mit und ohne www, auf und folgen jeder Weiterleitung einzeln, höchstens zehnmal. Ergebnisse speichern wir nicht dauerhaft.

WAS GEPRÜFT WIRD

Vier Eingänge.
Ein Ziel.

Die Startseite selbst kann perfekt geschützt sein: Wenn der Weg dorthin über unverschlüsseltes HTTP führt, ist der Schutz für einen Teil der Besucher weg. Der Check zeigt den ganzen Weg, Station für Station.

  • 01

    Vier Varianten

    http:// und https://, jeweils mit und ohne www. Jede Kette wird Hop für Hop verfolgt und mit Statuscode gezeigt. Varianten ohne DNS-Eintrag zählen nicht.

  • 02

    Ziel verschlüsselt

    Endet eine Variante auf HTTP oder fällt eine Weiterleitung von HTTPS zurück auf HTTP, ist das kritisch: Besucher surfen dort ohne Verschlüsselung.

  • 03

    Kein Zwischenschritt über HTTP

    Der erste Sprung von HTTP soll direkt auf HTTPS desselben Hosts gehen. Ein Umweg über eine zweite HTTP-Adresse läuft unverschlüsselt und kostet HSTS.

  • 04

    Schleifen und Umwege

    Weiterleitungen im Kreis enden im Browser mit einer Fehlermeldung. Mehr als zwei Weiterleitungen bis zum Ziel bremsen den Seitenaufbau.

  • 05

    Dauerhaft statt vorübergehend

    Für den Wechsel von Schema oder Host gehört 301 oder 308. Mit 302 oder 307 behalten Browser und Suchmaschinen die alte Adresse.

  • 06

    Zertifikat und HSTS je Host

    Jede HTTPS-Station braucht ein gültiges Zertifikat und sollte HSTS senden, auch die, die nur weiterleitet. Sonst bleibt der Host ohne www ungeschützt.

SO RICHTEN SIE ES EIN

Zwei Schritte.
Beide dauerhaft.

Erst auf HTTPS desselben Hosts, dann auf den Wunsch-Host. So sieht der Browser jeden Host einmal verschlüsselt und kann HSTS lernen. Zertifikat und Header prüfen Sie danach mit dem SSL/TLS-Check und dem Security-Header-Check; was HTTP überhaupt ist, erklärt unser Lexikon.

  • nginx

    Ein Server-Block für Port 80 leitet alles auf HTTPS desselben Hosts. Der HTTPS-Block ohne www setzt HSTS und leitet auf den Wunsch-Host.

    # Port 80: alles dauerhaft auf HTTPS desselben Hosts
server {
  listen 80;
  server_name example.at www.example.at;
  return 301 https://$host$request_uri;
}

# HTTPS ohne www: HSTS setzen, dann auf den Wunsch-Host
server {
  listen 443 ssl;
  server_name example.at;
  add_header Strict-Transport-Security "max-age=31536000" always;
  return 301 https://www.example.at$request_uri;
}

    Quelle: RFC 6797, Abschnitt 7.2

  • Apache

    Mit mod_rewrite und mod_headers in den VirtualHosts. In .htaccess wirken die Zeilen nur, wenn AllowOverride das zulässt.

    # VirtualHost auf Port 80
RewriteEngine On
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

# VirtualHost auf Port 443 für example.at
Header always set Strict-Transport-Security "max-age=31536000"
RewriteEngine On
RewriteCond %{HTTP_HOST} ^example\.at$ [NC]
RewriteRule ^ https://www.example.at%{REQUEST_URI} [R=301,L]

    Quelle: RFC 9110, Abschnitt 15.4

FRAGEN

Gut zu wissen.

Warum prüft der Check vier Adressen statt einer?

Besucher erreichen Ihre Website auf verschiedenen Wegen: durch Eintippen ohne https://, über alte Links mit http:// oder mit und ohne www. Jede dieser vier Varianten hat ihre eigene Kette von Weiterleitungen. Der Check folgt jeder einzeln, zeigt Statuscode und Ziel jeder Station und prüft, ob alle verschlüsselt am selben Ziel ankommen. Gibt es zu einer Variante keinen DNS-Eintrag, zählt sie nicht in die Note.

Warum soll HTTP zuerst auf HTTPS desselben Hosts umleiten?

Leitet http://example.at zuerst auf http://www.example.at weiter, läuft auch dieser Zwischenschritt unverschlüsselt und lässt sich unterwegs umlenken. Außerdem lernt der Browser HSTS nur aus HTTPS-Antworten (RFC 6797, Abschnitt 8.1): Kommt er nie bei https://example.at an, bleibt dieser Host ungeschützt. RFC 6797 empfiehlt für Anfragen über HTTP eine dauerhafte Weiterleitung auf HTTPS (Abschnitt 7.2). Der saubere Weg ist deshalb http://example.at → https://example.at → https://www.example.at.

301 oder 302: Welche Weiterleitung ist richtig?

Für den Wechsel auf HTTPS und auf den Wunsch-Host eine dauerhafte: 301 oder 308. 302 und 307 bedeuten nach RFC 9110, dass die Adresse nur vorübergehend woanders liegt; Clients sollen weiter die alte Adresse verwenden (Abschnitte 15.4.3 und 15.4.8). Google wertet nur dauerhafte Weiterleitungen als Signal, dass das Ziel die maßgebliche Adresse ist. Weiterleitungen nur innerhalb des Pfads, etwa von / auf /de/, dürfen vorübergehend sein; der Check bewertet sie nicht.

Wie viele Weiterleitungen sind zu viele?

Jede Weiterleitung kostet einen Abruf, bevor die Seite lädt. Lighthouse von Google bewertet eine Seite ab zwei Weiterleitungen als verbesserungsfähig. Zwei sind sinnvoll, wenn sie HTTP → HTTPS und dann den Host regeln; ab drei zeigt der Check einen Umweg an. Der Check folgt höchstens zehn Weiterleitungen je Variante, so viele wie die Crawler von Google standardmäßig. Browser brechen spätestens nach 20 ab (WHATWG Fetch).

Schützt HSTS auch den allerersten Aufruf?

Nein. Ein Browser kennt HSTS erst, nachdem er den Header einmal über HTTPS erhalten hat. Der erste Aufruf ohne https:// bleibt deshalb angreifbar (RFC 6797, Abschnitt 14.6). Abhilfe ist die Preload-Liste der Browser (Abschnitt 12.3); die Aufnahme ist aber schwer rückgängig zu machen und verlangt HTTPS auf allen Subdomains. Für die meisten Websites genügt HSTS mit einem Jahr Laufzeit auf jedem HTTPS-Host, auch auf dem, der nur weiterleitet.

Speichert TOMORIS meine Eingabe oder das Ergebnis?

Nein, nicht dauerhaft. Unser Server ruft die Adressen der Weiterleitungskette ab, jede höchstens einmal, mit GET und ohne den Inhalt der Seiten zu laden; die geprüfte Website sieht dabei unseren Server, nicht Ihre IP-Adresse. Das Ergebnis bleibt fünf Minuten im Arbeitsspeicher, damit wiederholte Abrufe die Website nicht erneut belasten, und ist spätestens nach sechs Minuten gelöscht. Details stehen in der Datenschutzerklärung.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen