HSTS
Form & Grammatik
- Stichwort
- HSTS
- Worttrennung
- HSTS
- Langform
- HTTP Strict Transport Security
- Kürzelart
- Initialkurzwort
- Schreibung
- HSTS ohne Abkürzungspunkte
- Artikel
- ohne Artikel (als Verfahrensname)
- Plural
- als Name verwendet; konkrete Regeln und Verbindungen werden gesondert benannt
HSTS wird als Name ohne Artikel gebraucht, etwa ohne HSTS.
Die Geltungsdauer einer HSTS-Vorgabe und die Laufzeit eines Zertifikats sind verschiedene Angaben.
Gebrauch: HSTS wird als Name ohne Artikel gebraucht, etwa ohne HSTS. Die Geltungsdauer einer HSTS-Vorgabe und die Laufzeit eines Zertifikats sind verschiedene Angaben.
Definition · kurz erklärt
HSTS steht für HTTP Strict Transport Security. Die Sicherheitsrichtlinie teilt einem Browser mit, dass er einen bestimmten Host nur über HTTPS ansprechen soll. Hat der Browser diese Vorgabe gespeichert, wandelt er passende HTTP-Aufrufe vor dem Verbindungsaufbau in HTTPS-Aufrufe um.
Bedeutung
1 HTTPS für weitere Zugriffe festlegen
Ein Server kann die Vorgabe mit dem Antwortfeld Strict-Transport-Security über eine geschützte Verbindung senden. Der Browser merkt sich die Geltungsdauer. Währenddessen verwendet er für den erfassten Host HTTPS. Bei Fehlern der geschützten Verbindung, etwa einem ungültigen Zertifikat, darf er den Zugriff nicht einfach nach einer bestätigten Warnung fortsetzen.
„Der Browser kennt die HSTS-Vorgabe und ruft die eingegebene HTTP-Adresse sofort über HTTPS auf.“
Die Vorgabe ist in diesem Beispiel schon bekannt. Das ist eine wichtige Voraussetzung; ein bisher unbekannter Host wird durch eine noch nicht empfangene Mitteilung nicht geschützt.
HSTS und HTTPS unterscheiden
HTTPS bezeichnet den geschützten Webzugriff. HSTS ergänzt eine Vorgabe für dessen konsequente Verwendung bei einem bestimmten Host. Ein Server kann HTTPS anbieten, ohne eine HSTS-Vorgabe zu senden. HSTS stellt selbst weder ein Zertifikat aus noch verschlüsselt es die Daten.
Eine HTTP-Weiterleitung wird erst nach einer Anfrage vom Server zurückgeschickt. Eine bereits bekannte HSTS-Vorgabe wirkt dagegen schon im Browser vor dem entsprechenden ungeschützten Zugriff. Darin liegt der wesentliche Unterschied zwischen beiden Verfahren.
Eine vorab im Browser verfügbare HSTS-Liste heißt Preload-Liste. Sie kann einen Host schon vor dem ersten Besuch als entsprechend geschützt kennzeichnen. Das ist von einer Vorgabe zu unterscheiden, die der Browser erst durch eine Serverantwort kennenlernt.
HSTS ist kein allgemeines Gütesiegel für Webseiten. Die Richtlinie betrifft die Auswahl und Prüfung des Übertragungswegs; sie bestätigt nicht, dass ein Angebot vertrauenswürdig oder eine veröffentlichte Behauptung wahr ist.
Beispiele und Verwendung
„Die HSTS-Geltungsdauer beträgt in dieser Konfiguration einen Monat.“ Gemeint ist, wie lange der Browser die empfangene Vorgabe berücksichtigt. Das ist keine Aussage über die Laufzeit des Serverzertifikats.
„Die Vorgabe schließt Unterdomains ein.“ Dafür ist die entsprechende Erweiterung includeSubDomains vorgesehen. Welche Namen betroffen sind, hängt von der Domain der Vorgabe ab; nicht automatisch jede Adresse desselben Betreibers ist eingeschlossen.
„Trotz HTTPS fehlt beim allerersten HTTP-Aufruf noch der Schutz durch eine gespeicherte HSTS-Vorgabe.“ Der Satz unterscheidet die technische Möglichkeit eines HTTPS-Zugriffs vom Kenntnisstand des Browsers. Eine passende Vorabeintragung kann diese Ausgangslage verändern.
Grammatik und Beugung
HSTS steht hier als substantivischer Name ohne Artikel, beispielsweise in HSTS verwenden oder ohne HSTS. Konkrete Einstellungen lassen sich als HSTS-Vorgaben oder HSTS-Regeln benennen. Diese Zusammensetzungen haben ihre eigenen zählbaren Hauptwörter.
Die vier Großbuchstaben werden ohne Punkte geschrieben; das letzte S steht für Security. HSTS bleibt ungeteilt. Ein Bindestrich verbindet das Kürzel mit einem weiteren Wort, etwa HSTS-Vorgabe und HSTS-Liste. Der technische Feldname Strict-Transport-Security hat dagegen seine festgelegte eigene Schreibweise.