HTTP Strict Transport Security (HSTS) is een beveiligingsmaatregel die SSL-beveiligde websites beschermt tegen zogenoemde “downgrade aanvallen“. Door een HSTS-reactieheader mee te sturen zorg je ervoor dat webbrowsers alleen het beveiligde HTTPS protocol gebruiken en nooit het onveilige HTTP. In dit artikel lees je hoe je dit instelt voor jouw website. 

HSTS niet standaard ingeschakeld

De HTTP Strict-Transport-Security (HSTS) standaard omvat communicatie tussen de webserver en webbrowser, en is alleen mogelijk als de gehele website beveiligd is met een SSL-certificaat. Hierom wordt een HSTS-reactieheader niet standaard teruggestuurd naar de browser (client).

Als je graag de communicatie tussen jouw website en bezoekers beter wilt beschermen, en de privacy van jouw bezoekers belangrijk vindt, dan doe je er verstandig aan deze HSTS-reactieheader terug te sturen. Je stelt dit eenvoudig in een web.config-bestand in. In het artikel Striktere websitebeveiliging met HTTP-reactieheaders geven we je meer voorbeelden van HTTP-headers die je kunt gebruiken om je website beveiliging te verbeteren.

HTTP Strict-Transport-Security (HSTS) reactieheader in web.config

HTTP-reactieheaders kun je onder andere instellen door middel van een Outbound Rule in het web.config-bestand. Een Outbound Rule herschrijft de reactie die van de server teruggestuurd wordt naar de browser.

Dit in tegenstelling tot een gewone Rewrite Rule waarbij dat wat de bezoeker opvraagt (request) herschreven wordt.

In het web.config-bestand voeg je de volgende XML-code toe, onder bestaande rewrite rules:

<outboundRules>
  <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
    <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
    <conditions>
      <add input="{HTTPS}" pattern="on" ignoreCase="true" />
    </conditions>
    <action type="Rewrite" value="max-age=31536000; includeSubDomains; preload" />
  </rule>
</outboundRules>

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <!-- redirect HTTP naar HTTPS -->
        <rule name="HTTP to HTTPS redirect" stopProcessing="true">
          <match url="(.*)" />
          <conditions>
            <add input="{HTTPS}" pattern="off" ignoreCase="true" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" />
        </rule>
      </rules>
      <outboundRules>
        <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
          <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
          <conditions>
            <add input="{HTTPS}" pattern="on" ignoreCase="true" />
          </conditions>
          <action type="Rewrite" value="max-age=31536000; includeSubDomains; preload" />
        </rule>
      </outboundRules>
    </rewrite>
  </system.webServer>
</configuration>

Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

add_action( 'send_headers', 'vevida_add_hsts_header' );
function vevida_add_hsts_header() {
  header( 'Strict-Transport-Security: max-age=31536000; includeSubDomains; preload' );
}