Prüfungen / Links, Canonical und Geschwindigkeit

Kein HSTS-Header

Strict-Transport-Security sorgt dafür, dass Browser immer HTTPS nutzen, und verhindert Downgrade-Angriffe.

hsts_missing · Links, Canonical und Geschwindigkeit · Hinweis

Was sie auslöst

Auf einer Website, die über https funktioniert, hat die Antwort Ihrer Startseite keinen Strict-Transport-Security-Header.

Was zu ändern ist

Senden Sie Strict-Transport-Security: max-age=31536000; includeSubDomains bei HTTPS-Antworten.

Beispiel

Antwort-Header, die Sie auf Ihrem Server oder CDN ergänzen:

Strict-Transport-Security: max-age=31536000; includeSubDomains

So bestätigen Sie die Korrektur

1. Führen Sie curl -I https://example.com/ | grep -i strict-transport aus
2. Starten Sie einen neuen Crawl

Wie häufig es vorkommt

Wir haben nicht gemessen, wie häufig das in einer Stichprobe von Sites vorkommt. Zahlen erscheinen hier, sobald eine Studie es abdeckt.

Zu dieser Prüfung

Einstellungen je Plattform

Wo die Einstellung auf einigen Plattformen liegt, laut der Hilfeseite der jeweiligen Plattform, gelesen am 26. Oktober 2026. Auf jedem anderen Server wenden Sie den Korrekturkasten oben an.

Cloudflare

In Cloudflare: Edge Certificates → Enable HSTS → Max Age Header, Apply HSTS policy to subdomains. (Hilfeseite von Cloudflare)

Cloudflare warnt: Entfernen Sie HTTPS, bevor Sie HSTS abschalten oder bevor der Max Age Header abgelaufen ist, ist Ihre Website für Besucher unerreichbar, bis eines davon eintritt.

Netlify

Netlify: Legen Sie dies in _headers ab. (Hilfeseite von Netlify)

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains

Vercel

Vercel: Legen Sie dies in vercel.json ab. (Hilfeseite von Vercel)

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        {
          "key": "Strict-Transport-Security",
          "value": "max-age=31536000; includeSubDomains"
        }
      ]
    }
  ]
}

Verwandte Prüfungen

• Ungültiges hreflang
• hreflang hat kein x-default
• Interne Links zeigen auf Weiterleitungen
• Die Startadresse wechselt die Sprache mit dem Browser des Besuchers

So funktioniert ein Audit: Methode