HTTP Strict Transport Security (HSTS).

HSTS, definiert in RFC 6797, wird über den Antwortheader Strict-Transport-Security signalisiert. Sobald ein konformer Browser diesen Header über HTTPS erhält, merkt er sich die Richtlinie für die angegebene max-age und stuft sämtliche künftigen Anfragen an diesen Host (und optional dessen Subdomains) automatisch auf HTTPS hoch; bei Fehlern im TLS-Handshake oder bei der Zertifikatsvalidierung verweigert er die Verbindung. Dies neutralisiert SSL-Stripping-Angriffe (Moxie Marlinspikes sslstrip von 2009) und Cookie-Injection im Klartext.

HSTS hat eine strukturelle Schwäche: Trust-on-First-Use. Bevor der Browser den Header zum ersten Mal gesehen hat, kann genau diese erste Anfrage noch abgefangen und herabgestuft werden. Die Preload-Liste — ein fest in Chromium, Firefox, Safari und Edge einkompilierter Satz — schließt diese Lücke, indem sie die Richtlinie mit dem Browser ausliefert, sodass selbst der erste Besuch auf HTTPS gezwungen wird. Die Einreichung erfordert ein max-age von mindestens 31536000 (ein Jahr), includeSubDomains und die Direktive preload, über hstspreload.org. Google Registry hat ganze gTLDs wie .dev und .app vorab eingetragen, sodass jede Domain darunter standardmäßig ausschließlich HTTPS ist. Hinweis: Die Entfernung aus der Preload-Liste verbreitet sich langsam — nutze Preload nur, wenn du dich langfristig zu HTTPS-überall verpflichten kannst.

flowchart TD
  A[Browser: erster Besuch] -->|noch keine Richtlinie| B{Auf Preload-Liste?}
  B -->|ja| C[HTTPS sofort erzwingen]
  B -->|nein| D[Klartext-Anfrage moeglich - TOFU-Risiko]
  D --> E[Server sendet Strict-Transport-Security-Header]
  E --> F[Browser cacht Richtlinie fuer max-age]
  F --> G[Alle kuenftigen Anfragen automatisch auf HTTPS]
  G -->|ungueltiges Zertifikat| H[Hartes Scheitern, kein Klick-Bypass]