HSTS Preload Check [GELÖST]

[Blackmoon]

Guten Abend,
ich schlage mich seit dieser Woche mit dem Thema HSTS Preload List Submission rum. Bis dato haben wir für die wenigen Seiten einfach die entsprechenden Zeilen in eine .htacces Datei gepackt und der Check/Submission war erfolgreich.

Nun wird leider öfters vom Kunden vergessen nach einem Update des CMS auch die .htaccess Datei wieder um die notwendigen Zeilen zu ergänzen. Was dazu führt, dass ein Ticket bei mir dafür eingeht. Ich pflege es nach, aber ist mit der Zeit einfach lästig.

Das Szenario ist wie folgt:
Im KeyHelp gibt es eine Domain xyz.de und dazu passend die Subdomain www.xyz.de. Für beide gibt es jeweils ein LE Zertifikat. im Reiter Sicherheit sind die Parameter Sichere Verbindung erzwingen und HTTP Strict Transport Security (HSTS) aktiviert. Für die Domain xyz.de ist im Reiter Allgemein der Parameter Domain-Ziel für eine Weiterleitung konfigiert. Die Weiterleitung zeigt auf https://www.xyz.de.

Das führt bei HSTS Preload List Submission dazu, dass zwei Fehler gefunden werden.

• Response error: No HSTS header is present on the response.

• `http://xyz.de` (HTTP) should immediately redirect to `https://xyz.de` (HTTPS) before adding the www subdomain. Right now, the first redirect is to `https://www.xyz.de/`. The extra redirect is required to ensure that any browser which supports HSTS will record the HSTS entry for the top level domain, not just the subdomain.

Nach meinem Verständis entstehen beide Fehler dadurch, dass die Weiterleitung von xyz.de auf https://www.xyz.de vor dem Parameter "Sichere Verbindung erzwingen " im Reiter Sicherheit greift.

Wäre es möglich die Verarbeitung von Sichere Verbindung erzwingen und der Weiterleitung in der Konfiguration zu tauschen, wenn HSTS aktiviert ist?

/Dani

[OlliTheDarkness]

Zu

Nun wird leider öfters vom Kunden vergessen nach einem Update des CMS auch die .htaccess Datei wieder um die notwendigen Zeilen zu ergänzen. Was dazu führt, dass ein Ticket bei mir dafür eingeht. Ich pflege es nach, aber ist mit der Zeit einfach lästig.

Da du nicht geschrieben hast um welches CMS es sich handelt, vielleicht mal schauen ob du zum Abschluss des Updates eine nachinstallationsrotine hast mit der du die fehlende Eintragung automatisch setzt oder aber einfach nen kleines Script als Cronjob das prüft ob Eintrag XYZ vorhanden ist und wenn nicht ihn einsetzt.

Damit ist das lästige Problem doch gelöst

[Blackmoon]

Guten Abend,
aktuell haben wir Instanzen von Wordpress, Typo3 (verschiedene Versionen), Contaound und Joomla gesichtet. Aber da gibt's sicherlich noch Weitere. Im Moment sind es noch verhältsnismäßig wenige Kunden bzw. Sites mit der Anforderung. Aber alleine dieses Jahr waren es schon 10 Anfragen.

An Cronjobs habe ich auch schon gedacht. Allerdings sehe ich hier wie auch bei der Nachinstallationsroutine die Herausforderung, evtl. bestehende Zeilen in der .htaccess zu finden. Bestes Beispiel sind die entsprechende Einträge für "nonwww-to-www welche das eine oder andere CMS standardmäßig setzen. Somit müsste die .htaccess als erstes auf bestimmte Einträge geprüft werden. Je nachdem ggf. abändern bzw. fehlende Zeilen danach einfügen. Bei den restlichen CMSe können die 9 Zeilen Code einfach am Ender eingefügt werden.

Zum anderen müsste das Skript bei jeden Lauf erkennen, welche .htaccess fehlerhafte Einträge hat und entsprechend reagieren. Da fehlt mir ehrlich gesagt die Erfahrung in Shellskripting. Hab zwar mal das eine oder ander Skript für Backups geschrieben, aber das ist noch eine andere Nummer.

Serverseitig hätte eben den Vorteil, dass es vor dem Kunden sicher ist. Denn egal was in der .htaccess angeben ist, die Serverkonfiguration wird als erstes ausgeführt, oder?

/Dani

[OlliTheDarkness]

Dann realisier es z.B mit PHP wenn dir das mehr liegt und lass die Datei als Cron laufen. (Command: php /root/ScriptXYZ.php)

Dabei sind ggf. vorhandene Beschränkungen zu berücksichtigen.

Schreib mir mal ne PM damit ichs auffem Schirm habe, ich versuch mal dir da was zu bauen was dann nurnoch auf deine Struktur anpassen musst.

Wird aber auf keinen Fall was vor dem Wochenende.

Gruß