HTTP Strict Transport Security (HSTS)

HTTP Strict Transport Security (HSTS) is een beveiligingsmechanisme dat je webserver instrueert om browsers te dwingen alleen via HTTPS met je website te communiceren. Zodra een browser de HSTS-header ontvangt, slaat deze een instructie op dat alle toekomstige verzoeken naar jouw domein automatisch via een versleutelde verbinding moeten lopen. Dit voorkomt dat een aanvaller verkeer kan onderscheppen of downgraden naar onveilige HTTP-verbindingen, zelfs als een bezoeker per ongeluk een http:// link volgt.

Hoe HSTS je website beschermt tegen protocol downgrade-aanvallen

Wanneer een bezoeker voor het eerst jouw website bezoekt via HTTPS, stuurt de webserver een speciale response header mee: Strict-Transport-Security: max-age=31536000; includeSubDomains. De browser onthoudt deze instructie gedurende de opgegeven periode (in dit voorbeeld een jaar). Alle volgende verzoeken naar jouw domein worden automatisch omgezet naar HTTPS, nog voordat het verzoek het netwerk verlaat. Dit gebeurt zelfs als iemand een oude bladwijzer met http:// gebruikt of een link op een externe site niet correct is. Hierdoor kan een aanvaller op een openbaar wifi-netwerk geen onversleuteld verkeer meer onderscheppen. De bescherming werkt volledig client-side, zonder extra roundtrip naar de server.

Waarom HSTS standaard werd in moderne webbeveiliging

HSTS ontstond als reactie op man-in-the-middle-aanvallen waarbij aanvallers HTTPS-verbindingen downgradeden naar HTTP. Voor 2012 was het voor een aanvaller relatief eenvoudig om op openbare netwerken verkeer om te leiden via een onveilige verbinding, zelfs als de website zelf HTTPS ondersteunde. Grote datalekken bij banken en webshops leidden tot de ontwikkeling van HSTS als onderdeel van de IETF-standaard RFC 6797. Sindsdien eisen zoekmachines zoals Google en browsers als Chrome dat websites met gevoelige gegevens HSTS implementeren. Voor MKB-bedrijven met een webshop of klantportaal is HSTS inmiddels een basisvereiste voor betrouwbare HTTPS-beveiliging.

Wat HSTS oplevert voor MKB-websites en webshops

Voor een Nederlandse webshop of SaaS-platform betekent HSTS dat klantgegevens, inloggegevens en betaalinformatie beter beschermd zijn tegen onderschepping. Dit verlaagt het risico op AVG-incidenten en verhoogt het vertrouwen van bezoekers. Daarnaast waarderen zoekmachines HSTS als positief beveiligingssignaal, wat indirect je SEO-positie kan versterken. Bij een grondige SEO-strategie vormt technische beveiliging zoals HSTS een onderdeel van de bredere Content Security Policy die crawlers en gebruikers signaleert dat je site professioneel beheerd wordt. In de praktijk zien we dat webshops met HSTS minder vaak te maken krijgen met waarschuwingen in browsers, wat het conversiepercentage ten goede komt.

HSTS is niet alleen een technische checkbox, maar een actieve beschermlaag die je inzet op verschillende niveaus van je website-infrastructuur. Hieronder vind je de belangrijkste toepassingen waarin MKB-bedrijven HSTS gebruiken om beveiliging, compliance en gebruikersvertrouwen te versterken.

Bescherming van klantportalen en inlogomgevingen

Voor websites met een beveiligde klantomgeving, zoals een B2B-portal of een ledenplatform, is HSTS essentieel om sessiekapers buiten te houden. Stel je een accountmanager voor die vanaf een hotellobby inlogt op het klantportaal van een groothandel. Zonder HSTS kan een aanvaller op hetzelfde netwerk de verbinding downgraden en inloggegevens onderscheppen. Met HSTS activeert de browser automatisch HTTPS, ook als de medewerker per ongeluk http:// intypt. Dit voorkomt dat sessiecookies in het wild belanden. Veel MKB-bedrijven combineren HSTS met Two-Factor Authentication voor een dubbele beveiligingslaag. De implementatie kost eenmalig enkele uren configuratietijd, maar beschermt daarna automatisch alle toekomstige sessies.

Webshops met betalingsverkeer en klantgegevens

Een webshop verwerkt dagelijks gevoelige data: adressen, betaalgegevens, bestelgeschiedenis. HSTS zorgt ervoor dat deze informatie nooit per ongeluk via een onversleutelde verbinding wordt verstuurd. Dit is vooral relevant bij externe verwijzingen: als een klant via een oude nieuwsbrief of een link op social media binnenkomt, dwingt HSTS de browser meteen naar HTTPS. Betaalproviders zoals Mollie en Adyen eisen HSTS vaak als voorwaarde voor certificering. In combinatie met een professioneel opgezette webshop vermindert HSTS het risico op AVG-incidenten en verhoogt het de conversie doordat browsers geen waarschuwingen tonen. Een webshop met 1.000 bezoekers per dag voorkomt met HSTS potentieel tientallen onderscheppingspogingen per maand.

Subdomeinen en API-endpoints beveiligen via includeSubDomains

Veel MKB-bedrijven draaien naast hun hoofdsite ook subdomeinen voor specifieke functies: api.bedrijf.nl, shop.bedrijf.nl, docs.bedrijf.nl. Zonder expliciete HSTS-instructie kunnen deze subdomeinen kwetsbaar blijven, ook al is de hoofdsite beveiligd. Door de includeSubDomains-directive toe te voegen aan je HSTS-header, dwing je alle subdomeinen automatisch naar HTTPS. Dit is cruciaal voor API's die door externe applicaties worden aangeroepen: een onveilige API-verbinding kan leiden tot datalekken zonder dat je het merkt. Bij maatwerk webontwikkeling configureren we HSTS standaard met includeSubDomains, tenzij er een expliciete reden is om een subdomein uit te zonderen. Dit voorkomt verrassingen bij toekomstige uitbreidingen van je platform.

Wanneer HSTS de juiste keuze is en wanneer niet

HSTS is de juiste keuze zodra je website volledig op HTTPS draait en je zeker weet dat alle interne links, resources en externe integraties HTTPS ondersteunen. Het is niet geschikt als je nog mixed content hebt (HTTP-afbeeldingen of scripts op een HTTPS-pagina) of als je tijdelijk wilt testen met HTTP-omgevingen. Een veelgemaakte fout is HSTS activeren met een lange max-age voordat alle HTTP-afhankelijkheden zijn opgelost. Dit kan leiden tot onbereikbare pagina's voor bezoekers die de header al hebben opgeslagen. Test daarom eerst met een korte max-age van een uur, los alle waarschuwingen op, en verhoog daarna naar een jaar. Voor websites zonder gevoelige data (zoals een eenvoudige portfolio-site) is HSTS minder urgent, maar wel aan te raden voor toekomstbestendigheid.