HSTS og sikkerhedsheaders til din hjemmeside

Med hver side sender din webserver headers med: korte linjer med instruktioner til browseren. De er med til at bestemme, hvor sikkert browseren håndterer din side. Her kan du læse, hvad HSTS er, hvilke andre sikkerhedsheaders der findes, og hvordan du opsætter og tester dem.

Først skal din side have et fungerende certifikat og sende besøgende videre til https. Det kan du læse om i Aktivér og forny SSL-certifikat, og løs problemer og Send altid besøgende videre til https.

Hvad gør HSTS?

Omdirigering til https har ét svagt punkt: den første forespørgsel via http sendes stadig ukrypteret. En person på samme netværk, for eksempel på et offentligt wifi, kan opsnappe den forespørgsel. HSTS (HTTP Strict Transport Security) løser det. Din side sender denne header med via https:

Strict-Transport-Security: max-age=31536000

Browseren husker så, at den kun må åbne din side via https. Skriver en besøgende senere http://, laver browseren det selv om til https, før noget sendes over netværket. En HSTS-header, der kommer ind via almindelig http, ignorerer browseren.

HSTS hos WebOké

På de fleste af vores servere sender webserveren som standard HSTS med for hver hjemmeside, der åbnes via https: Strict-Transport-Security: max-age=31536000. Det er et år, uden includeSubDomains og uden preload. Det behøver du ikke gøre noget for. På nogle få servere er det ikke slået til som standard; der slår du det selv til. Om din side allerede sender HSTS med, og med hvilken max-age, kan du se i din browsers udviklerværktøjer eller i testen på internet.nl (se nedenfor).

HSTS-kontakten i DirectAdmin

I DirectAdmin går du til Domains og klikker på dit domænenavn. Er Secure SSL slået til, ser du ved HSTS kontakten Enable HTTP Strict Transport Security. Klik derefter på Save for at gemme. Hvordan det gøres trin for trin, kan du læse i Send altid besøgende til https.

Sender din side allerede HSTS med, har du ikke brug for kontakten. Slå den kun til, hvis din side endnu ikke sender HSTS. Opsæt HSTS ét sted: i DirectAdmin eller i .htaccess, ikke begge. Får browseren to HSTS-headers, bruger den kun den første.

De andre sikkerhedsheaders

Opsætning i .htaccess

Sæt disse linjer øverst i filen .htaccess i mappen public_html for dit domæne. Tag først en kopi af filen.

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  # Alleen als je site nog geen HSTS meestuurt (zie hierboven):
  # Header always set Strict-Transport-Security "max-age=31536000"
</IfModule>

Tilføj først includeSubDomains, når du er sikker på, at hvert subdomæne har https. Bruger du WordPress, kan du også opsætte headerne med et plugin. Vælg et kendt plugin, der stadig opdateres, og opsæt hver header ét sted: i pluginnet eller i .htaccess.

På en VPS med nginx eller Caddy

På en VPS bruger du ikke DirectAdmin og ofte heller ikke .htaccess. Du sætter så headerne i din webservers indstillinger. Ingen af dem sender HSTS eller disse headers med af sig selv.

nginx: i server-blokken for port 443:

add_header Strict-Transport-Security "max-age=31536000" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Content-Security-Policy "frame-ancestors 'self'" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Med always sendes headerne også med på fejlsider. Bemærk: står der selv en add_header i en location-blok, gælder linjerne fra server-blokken ikke længere for den location. Gentag dem så der, eller sæt dem i en separat fil, som du indsætter overalt med include. Test indstillingerne med nginx -t, og indlæs dem med systemctl reload nginx.

Caddy: i blokken for din side i Caddyfile:

header {
	Strict-Transport-Security "max-age=31536000"
	X-Content-Type-Options "nosniff"
	Content-Security-Policy "frame-ancestors 'self'"
	Referrer-Policy "strict-origin-when-cross-origin"
}

Indlæs ændringen med systemctl reload caddy. Opsætning af en side med nginx eller Caddy finder du i nginx med et certifikat fra Let's Encrypt og Caddy: en hjemmeside med automatisk https i VPS-vejledningen.

Test

• Internet.nl: indtast dit domæne i hjemmesidetesten på internet.nl.
• Din browser: åbn din side, tryk på F12 (eller vælg Inspicer), gå til fanen Netværk, genindlæs siden, og klik på den første forespørgsel. Under Svarheadere (Response Headers) ser du alt, hvad din server sender med.
• Kommandolinjen: curl -sI https://ditdomæne.nl/ viser headerne.

Tjek efter hver ændring, at din side, formularer og betalingsside stadig virker. Hold desuden dit CMS, plugins og temaer opdateret. Se Beskyt wp-login.php i WordPress.

Læs mere

• MDN: Strict-Transport-Security (engelsk)
• MDN: Content-Security-Policy (engelsk)
• MDN: Permissions-Policy (engelsk)
• HSTS-preloadliste (engelsk)

Vil du lære mere? Tag det gratis kursus Sikker online for virksomheder, lektion 4.2 Din hjemmeside: https, HSTS og sikkerhedsheaders, eller det gratis WordPress-kursus, lektion 7.4 Gør siden mere sikker: rettigheder, headers og sikkerhedsplugins.