HSTS-Header fehlt

HSTS weist den Browser an, eure Seite künftig ausschließlich verschlüsselt aufzurufen. Ohne diesen Header geht der allererste Aufruf oft noch über unverschlüsseltes http — und genau dieser eine Moment lässt sich in fremden Netzen abfangen und umleiten.

In der Praxis ist das der Unterschied zwischen „wir haben ein Zertifikat“ und „die Verbindung ist wirklich geschützt“. Ein Zertifikat allein hilft nicht, wenn der Browser gar nicht erst versucht, es zu benutzen.

Der Fix ist ein einzelner Header und in jeder gängigen Hosting-Umgebung in wenigen Minuten gesetzt. Startet mit einer kurzen Gültigkeit, prüft, dass alles über https erreichbar bleibt, und erhöht sie dann.