Prüfpunkt · Security header
Kein HSTS (oder zu kurze Laufzeit)
Was das bedeutet
Der Header Strict-Transport-Security fehlt oder läuft schnell ab; Browser versuchen es deshalb weiter über einfaches HTTP.
Warum es zählt
Ohne HSTS kann die erste Anfrage über HTTP abgefangen und herabgestuft werden — der klassische Angriff im offenen WLAN.
Wie Sie es beheben
Strict-Transport-Security: max-age=31536000; includeSubDomains senden, sobald sicher ist, dass die gesamte App über HTTPS läuft.
Praxisorientierte Hinweise, keine Rechtsberatung.
Betrifft das Ihre App? Der kostenlose passive Check prüft diesen und 14 weitere Punkte — ohne Login, ohne Eingriff.
App kostenlos prüfenSchnelltest: Security Headers Check — kostenlos, sofort, nur dieser Punkt (englisch).