{"id":1968,"date":"2026-08-17T13:46:46","date_gmt":"2026-08-17T10:46:46","guid":{"rendered":"https:\/\/allinonewpsettings.com\/blog\/?p=1968"},"modified":"2026-08-04T11:29:00","modified_gmt":"2026-08-04T11:29:00","slug":"hsts-in-wordpress-sicher-aktivieren","status":"publish","type":"post","link":"https:\/\/allinonewpsettings.com\/blog\/de\/hsts-in-wordpress-sicher-aktivieren\/","title":{"rendered":"HSTS in WordPress sicher und schrittweise aktivieren"},"content":{"rendered":"

Eine Website sendet sofort ein Jahr HSTS samt includeSubDomains<\/code>. Kurz darauf sind ein \u00e4lterer Staging-Host und ein Mail-Dienst im Browser nicht mehr erreichbar, weil beide noch kein funktionierendes HTTPS anbieten.<\/p>\n

HSTS ist eine wirksame Browserrichtlinie, aber kein Reparaturwerkzeug f\u00fcr SSL. Vor der Aktivierung m\u00fcssen Zertifikate, Weiterleitungen und Erneuerung bereits zuverl\u00e4ssig funktionieren. Der sichere Weg beginnt mit einem kurzen max-age<\/code> und erweitert den Geltungsbereich erst nach gr\u00fcndlicher Beobachtung.<\/p>\n

\nInhaltsverzeichnis<\/strong><\/p>\n
    \n
  1. Was das Thema bedeutet<\/a><\/li>\n
  2. Ein realistisches WordPress-Beispiel<\/a><\/li>\n
  3. Warum es wichtig ist und wann es eingesetzt wird<\/a><\/li>\n
  4. Der einfache Weg f\u00fcr Einsteiger<\/a><\/li>\n
  5. Der technische Weg<\/a><\/li>\n
  6. Risiken, h\u00e4ufige Fehler, Backup und Rollback<\/a><\/li>\n
  7. Wie AIOWS unterst\u00fctzt: AIOWS SSL Manager<\/a><\/li>\n
  8. Passende AIOWS-Artikel<\/a><\/li>\n
  9. Fazit und empfohlener Weg<\/a><\/li>\n
  10. Offizielle Quellen<\/a><\/li>\n<\/ol>\n<\/div>\n

    Was HSTS bewirkt<\/h2>\n

    HTTP Strict Transport Security weist unterst\u00fctzte Browser an, einen Host w\u00e4hrend der gespeicherten Laufzeit ausschlie\u00dflich per HTTPS aufzurufen. Nach dem ersten g\u00fcltigen HTTPS-Kontakt ersetzt der Browser auch manuell eingegebene HTTP-Adressen lokal durch HTTPS.<\/p>\n

    includeSubDomains<\/code> dehnt die Richtlinie auf alle darunterliegenden Hostnamen aus. Die Preload-Liste geht weiter: Teilnehmende Browser kennen die Richtlinie bereits vor dem ersten Besuch. Weder HSTS noch Preload installiert ein Zertifikat oder behebt eine fehlerhafte HTTPS-Konfiguration.<\/p>\n

    Ein realistisches WordPress-Beispiel<\/h2>\n

    Die Hauptwebsite und www<\/code> funktionieren \u00fcber HTTPS. Unter legacy.example.com<\/code> l\u00e4uft jedoch noch ein Dienst ohne g\u00fcltiges Zertifikat. Wird auf der Hauptdomain HSTS mit includeSubDomains<\/code> und langer Laufzeit gesendet, verweigern wiederkehrende Browser den unverschl\u00fcsselten Zugriff auf den alten Dienst.<\/p>\n

    Das Team entfernt die breite Richtlinie, soweit sie serverseitig noch steuerbar ist, und wartet die bereits gespeicherte Laufzeit ab. Danach werden alle Subdomains inventarisiert, HTTPS-L\u00fccken geschlossen und HSTS zun\u00e4chst nur f\u00fcr die Hauptdomain mit kurzer Laufzeit eingef\u00fchrt.<\/p>\n

    Warum eine stufenweise Einf\u00fchrung wichtig ist<\/h2>\n

    HSTS verhindert Downgrade-Versuche und reduziert das Risiko, dass Besucher versehentlich \u00fcber HTTP beginnen. Gleichzeitig kann eine lange oder zu breite Richtlinie einen Zertifikatsfehler in einen anhaltenden Ausfall verwandeln, weil der Browser keinen HTTP-R\u00fcckweg mehr zul\u00e4sst.<\/p>\n

    Aktivieren Sie HSTS erst, wenn Hauptdomain, www<\/code>, Login, API, Downloads und alle vorgesehenen Subdomains dauerhaft per HTTPS erreichbar sind. Die automatische Zertifikatserneuerung muss ebenfalls nachweislich funktionieren.<\/p>\n

    Der einfache Weg f\u00fcr Einsteiger<\/h2>\n
      \n
    1. Pr\u00fcfen Sie jede \u00f6ffentliche Domain und Subdomain \u00fcber HTTPS.<\/li>\n
    2. Bestimmen Sie genau eine Ebene, die den HSTS-Header setzt.<\/li>\n
    3. Beginnen Sie ohne includeSubDomains<\/code> und mit einem kurzen max-age<\/code>.<\/li>\n
    4. Testen Sie HTTP-Eingaben, Login, Formulare, APIs, Downloads und Zertifikatserneuerung.<\/li>\n
    5. Erh\u00f6hen Sie die Laufzeit schrittweise, wenn der Betrieb stabil bleibt.<\/li>\n
    6. Aktivieren Sie includeSubDomains<\/code> oder Preload nur nach einer gesonderten Freigabe.<\/li>\n<\/ol>\n

      Der technische Weg<\/h2>\n

      Erstellen Sie ein Host-Inventar mit HTTPS-Status, Zertifikatsabdeckung, Erneuerungsweg und zust\u00e4ndigem Team. Pr\u00fcfen Sie den Header auf ungecachten Antworten am \u00f6ffentlichen Endpunkt sowie \u2013 falls relevant \u2013 am Ursprung. Doppelte Header aus CDN und Webserver m\u00fcssen vermieden werden.<\/p>\n