Apache - HTTP Strict Transport Security instellen

Volg onderstaande stappen om de Apache webserver in te stellen voor HTTP Strict Transport Security (HSTS).

Activeren headers

Voeg onderstaande regel toe aan het configuratiebestand (/etc/apache2/httpd.conf) om de HTTP header functie te activeren:

LoadModule headers_module modules/mod_headers.so

Configureren headers per website

Stel per header de website in, het configuratie bestand staat bij een standaard configuratie in de directory /etc/apache2/sites-enabled/.

Om op deze website de header voor Strict-Transport-Security in te stellen op een tijdsduur van 2 jaar, moet onderstaande regel aan de HTTPS vhost configuratie worden toegevoegd:

<VirtualHost *:443> Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains" </VirtualHost>

De toevoeging van de includeSubDomains optie zorgt er voor dat de browser nu voor alle subdomeinen van de website ook via HTTPS verbindt. Het weglaten van deze optie voorkomt dat, maar is niet aan te raden.

Na het opnieuw laden van de Apache configuratie wordt voor elke bezoeker de header ingesteld op een verlooptijd van 63072000 (2 jaar). Let op dat deze configuratieregel alleen in de HTTPS (:443) website configuratie kan worden opgenomen en niet in de HTTP (:80) versie.

Voor het gebruiken van HSTS heb je een SSL certificaat nodig.

  • 0 Users Found This Useful
Was this answer helpful?

Related Articles

Apache - Aanmaken en valideren client certificaten

Het aanmaken van client certificaten Maak de client key aan:# openssl genrsa -des3 -out...

Apache - Configuratie tonen

Als u problemen ondervindt met een SSL certificaat in Apache kunt u met onderstaand commando de...

Apache - Configureren Strong CipherSuites

Met onderstaande regel kunt u SSL zo configureren dat alléén sterke encryptie wordt...

Apache - Exporteren certificaat en private key als pfx bestand

Om het certificaat, de Private Key en eventueel bijbehorende intermediate certificaten te...

Apache - Foutmelding - CN does not match server name

Het kan voorkomen dat de volgende foutmelding verschijnt in de error_log: # [notice] caught...