Deze handleiding legt uit hoe u HSTS kunt uitschakelen of configureren voor een website.

Inleiding

• Wanneer HSTS is ingeschakeld voor een website, geeft de server aan de bezoeker van de website (mits de browser, zoals Brave, Chrome, Edge, Firefox, Opera, Safari, enz., dit ondersteunt) aan dat alle onbeveiligde links moeten worden vervangen door beveiligde links.
• Voorbeeld: http://www.domain.xyz.com/one/page/ wordt automatisch vervangen door https://www.domain.xyz/one/page/.
• Nadat een SSL-certificaat op een website is geactiveerd, wordt HSTS als volgt geconfigureerd: max-age=16000000.

HSTS uitschakelen…

… met een CMS (WordPress, Joomla, enz.)

Voeg de volgende regel toe aan alle pagina's die door het CMS worden gegenereerd:

header( 'Strict-Transport-Security: max-age=0;' );

Voor WordPress kunt u deze regel bijvoorbeeld toevoegen aan het bestand functions.php van uw thema:

add_action( 'send_headers', 'add_header_xua' );
function add_header_xua() {
header( 'Strict-Transport-Security: max-age=0;' );
}

Meer informatie over WordPress

… met een PHP-website

Voeg de volgende regel toe aan alle PHP-pagina's:

header( 'Strict-Transport-Security: max-age=0;' );

Om dit te doen zonder elke php-pagina van een website te hoeven wijzigen, kunt u de directive auto_prepend_file gebruiken in het .user.ini-bestand van de betreffende website:

auto_prepend_file=/home/clients/xxxx/web/hsts_disable.php

... met het volgende hsts_disable.php-bestand:

header( 'Strict-Transport-Security: max-age=0;' );

… met een website met statische inhoud (geen PHP)

Voeg deze header toe aan een .htaccess-bestand:

# BEGIN DISABLE HSTS
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=0; includeSubDomains;"
</IfModule>
# END DISABLE HSTS

HSTS aanpassen

header( 'Strict-Transport-Security: max-age=X; includeSubdomains; preload' );

includeSubDomains; is standaard ingeschakeld en, zoals de naam al aangeeft, worden subdomeinen opgenomen in de "Strict Transport Security"-instellingen.

Wanneer een bezoeker een onbeveiligd subdomein bezoekt, zal de browser automatisch doorverwijzen naar HTTPS en een beveiligingsfout veroorzaken.

Als dit gedrag niet gewenst is, moet deze header worden verwijderd.

De HSTS-cache van de browser wissen…

… in Chrome

1. Typ in Chrome chrome://net-internals/#hsts.
2. Voer de domeinnaam in het tekstveld in de sectie "Domeinbeveiligingsbeleid verwijderen" in.
3. Klik op de knop Verwijderen.
4. Voer de domeinnaam in het tekstveld in de sectie "HSTS-query" in.
5. Klik op de knop "Query".
6. Het antwoord moet "Niet gevonden" zijn.

… in Safari

1. Sluit eerst de browser af in Safari.
2. Verwijder het bestand ~/Library/Cookies/HSTS.plist.
3. Open Safari opnieuw.

… in Firefox

1. Sluit alle tabbladen in Firefox.
2. Open het Firefox-menu en klik op Geschiedenis / Geschiedenis weergeven.
3. Zoek de pagina op waarvan u de HSTS-voorkeuren wilt verwijderen.
4. Klik met de rechtermuisknop op een van de bijbehorende vermeldingen.
5. Kies 'Deze site vergeten'.