Nginx - Konfigurieren von HTTP Strict Transport Security

Mit der folgenden Konfiguration kann der Nginx-Webserver so konfiguriert werden, dass er HTTP Strict Transport Security (HSTS) unterstützt.

Der Header muss pro Website eingestellt werden, die Konfigurationsdatei befindet sich normalerweise in /etc/nginx/sites-available/.

server {
listen 443 ssl default deferred;
...
# config to enable HSTS(HTTP Strict Transport Security)
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains;";
...
}

Durch das Hinzufügen der Option includeSubDomains wird sichergestellt, dass der Browser für alle Unterdomänen der Domäne eine Verbindung über HTTPS herstellt. Das Weglassen dieser Option verhindert dies, wird aber nicht empfohlen. Nach dem erneuten Laden der Nginx-Konfiguration wird dem Browser jedes Besuchers eine Kopfzeile mit einer Ablaufzeit von 63072000 Sekunden (2 Jahre) angezeigt. Dieser Strict-Transport-Security-Header sollte nur zur HTTPS-Konfiguration (: 443) und nicht zur HTTP-Version (: 80) hinzugefügt werden.