FAQ
3. September 2025
HSTS steht für HTTP Strict Transport Security und teilt dem Browser mit, dass dieser die Webseite ausschließlich über eine HTTPS-Verbindung öffnen darf. Dadurch ist ein „Abfangen“ der automatischen Weiterleitung von HTTP zu HTTPS – ein sogenannter Man-in-the-Middle-Angriff – oder der unsichere Aufruf über HTTP nicht mehr möglich. Erfüllte Voraussetzungen für einen HSTS-EintragBevor Sie HSTS aktivieren, müssen bestimmte Bedingungen erfüllt sein: SSL-Zertifikat vorhanden: Ihre Domain benötigt ein gültiges SSL-Zertifikat, das von allen gängigen Browsern akzeptiert wird. Bei webgo sind SSL-Zertifikate kostenlos enthalten. Wie Sie für Ihre Domain ein SSL-Zertifikat aktivieren können, erklären wir hier: - Webhosting: Wie erstelle ich ein "Let's Encrypt-Zertifikat" im webgo Kundenportal? - Managed vServer / Dedicated Server: Wie erstelle ich ein Let s Encrypt-Zertifikat in Froxlor? Keine Mixed-Content-Warnungen: Alle Inhalte (Bilder, Skripte, CSS-Dateien etc. ) müssen ebenfalls über HTTPS ausgeliefert werden. Prüfen können Sie das ganz einfach, indem Sie Ihre Website im Browser aufrufen. Sehen Sie oben-links ein geschlossenes Schloss-Symbol ohne Warnhinweise, ist Ihre Seite korrekt abgesichert. HSTS im Webhosting aktivierenSie können HSTS entweder über das webgo Kundenportal in den Apache-Konfigurationen aktivieren, oder aber über eine . htaccess-Datei, welche sich im FTP-Verzeichnis Ihrer Webseiten-Installation befindet. HSTS über das webgo Kundenportal aktivierenUm HSTS über das webgo Kundenportal zu aktivieren, müssen Sie folgende Schritte befolgen: Melden Sie sich im webgo Kundenportal an: https: //login. webgo. de/Klicken Sie links auf Ihren Vertrag, um das Vertragsmenü zu öffnenGehen Sie auf "Webserver", und dann im oberen Tab-Menü auf "Apache Konfiguration". Tragen Sie nun im rechten Eingabefeld "Eigene Einstellungen" folgenden Eintrag ein:
Speichern Sie diesen Eintrag ab. Tipp: Damit die Einstellung schnellstmöglich greift, empfiehlt es sich den Webserver neuzustarten.
HSTS über Froxlor aktivieren (Managed vServer / Managed Dedicated Server)Unsere Managed vServer und Managed Dedicated Server-Paketen nutzen Froxlor als Verwaltungsoberfläche. Hier können Sie Froxlor ganz einfach über die Domain-Einstellung aktivieren. Dies geht wie folgt: Melden Sie sich mit Ihren Admin-Zugangsdaten in Ihrem Froxlor-Dashboard an. Gehen Sie links auf "Domain" und klicken bei der betroffenen Domain rechts auf das Stift-Symbol. Scrollen Sie nun runter zum Bereich "Webserver SSL-Einstellungen". Hier können Sie nun die folgenden drei Punkte bearbeiten: - HTTP Strict Transport Security (HSTS)Hier tragt Ihr den "max-age" Wert ein. Standardmäßig ist dieser "31536000". - Inkludiere HSTS für jede SubdomainDamit HSTS auch für die Subdomains der jeweiligen Domain greift, müsste diese Einstellung aktiviert werden. - "Füge Domain in die HSTS preload Liste hinzu"Mit dieser Einstellung wird Ihre Domain in die HSTS preload Liste hinzugefügt. Diese wird von Chrome verwaltet und auch von Browsern wie Firefox und Safari genutzt. Achtung: Wenn Sie Ihre Domain in die HSTS preload Liste hinzufügen, kann dies dauerhafte Auswirkungen haben. Es besteht das Risiko, dass Nutzer Ihre Domain oder deren Subdomains nicht mehr erreichen können. Bevor Sie den preload-Header einsetzen, sollten Sie unbedingt die Hinweise auf hstspreload. org/#removal beachten. Speichern Sie die Einstellungen ab, in dem Sie ganz unten auf "Speichern" klicken. Hinweis: Es kann bis zu 5 Minuten dauern, bis die Änderung greift.
HSTS über eine . htaccess-Datei aktivierenUm HSTS auf Ihrer Website einzurichten, können Sie dies auch alternativ über eine . htaccess-Datei aktivieren. Diese Datei erstellen Sie im Hauptverzeichnis Ihrer Website und können damit mit verschiedensten Einträgen wichtige Serverkonfigurationen für den Apache-Webserver steuern. Um HSTS über eine eigene . htaccess-Datei zu aktivieren, fügen Sie folgenden Code in Ihrer . htaccess-Datei ein:
Erklärung der HSTS-ParameterStrict-Transport-Security: Name des Headers, der HSTS aktiviert. max-age=31536000: Dauer in Sekunden, für die der Browser HTTPS erzwingen soll. 31536000 entspricht einem Jahr und ist ein gängiger Wert. Header always set: sorgt dafür, dass der Header bei jeder Anfrage gesetzt wird – unabhängig von eventuellen Cache-Einstellungen. includeSubDomains (optional): Mit diesem Zusatz gilt HSTS nicht nur für die Hauptdomain, sondern auch für alle Subdomains. Dies erhöht die Sicherheit, setzt aber voraus, dass jede Subdomain zuverlässig über HTTPS erreichbar ist. preload (optional): Mit diesem Parameter können Sie Ihre Domain in die sogenannte HSTS Preload List eintragen lassen. Diese Liste ist fest in alle gängigen Browser (Chrome, Firefox, Safari, Edge usw. ) integriert. Damit erzwingen Browser den HTTPS-Zugriff bereits beim allerersten Besuch und somit noch bevor überhaupt eine Verbindung über HTTP möglich wäre. Was Sie bei "preload" beachten müssenUm preload zu nutzen, müssen Sie bestimmte Bedingungen erfüllen: max-age muss mindestens 31536000 Sekunden (1 Jahr) betragen. includeSubDomains muss gesetzt sein. preload muss im Header enthalten sein. Zusätzlich müssen Sie Ihre Domain aktiv auf hstspreload. org anmelden. Erst dort wird geprüft, ob die Voraussetzungen erfüllt sind und ob Ihre Domain in die Browser-Listen aufgenommen werden kann. Wir hoffen, Ihnen konnte dieser Artikel weiterhelfen! 😊Sollte dies nicht der Fall sein, wenden Sie sich gerne an den Support per Mail, Live-Chat oder Telefon. Mehr Infos und Kontaktdaten unter: www. webgo. de/support➡️ Für Verbesserungen oder Vorschläge von FAQ Themen schicken Sie uns eine Mail an faq@webgo. de