HSTS
Browser anweisen, VexCore HV nur noch per HTTPS aufzurufen – und warum das nur mit einem vertrauenswürdigen Zertifikat geht.
HSTS (Strict-Transport-Security) weist Browser an, VexCore HV unter diesem Namen für eine gewisse Zeit nur per HTTPS aufzurufen und Zertifikatswarnungen nicht mehr zum Übergehen anzubieten.
Voraussetzungen
HSTS lässt sich nur einschalten, solange ein Zertifikat ausgeliefert wird, dem Browser von sich aus vertrauen – z. B. Let's Encrypt. Mit dem Proxmox-Node-Zertifikat oder einem selbst signierten Zertifikat würde HSTS Browser aussperren; der Schalter ist dann gesperrt.
Wird das Zertifikat später gegen ein nicht vertrauenswürdiges getauscht, bleibt HSTS zwar eingeschaltet, wird aber nicht mehr gesendet („Switched on, but not sent“).
Einschalten
Öffnen Sie Settings → HTTPS und schalten Sie HSTS (Strict-Transport-Security) ein (Berechtigung tls.manage).
Wählen Sie unter Remembered for, wie lange Browser sich das merken: 5 minutes, 1 hour oder 1 day. Standard ist aus.
Wichtig zu wissen
- HSTS gilt für den Namen, unter dem Sie VexCore HV aufrufen, und für alle Ports dieses Namens. Bei Aufruf über eine IP-Adresse ignorieren Browser es.
- VexCore HV setzt bewusst kurze Zeiten und nie
includeSubDomains, damit ein Fehler schnell abklingt und andere Dienste Ihrer Domain nicht betroffen sind. - Nach dem Ausschalten erzwingen Browser, die HSTS schon gesehen haben, HTTPS weiter bis zum Ablauf der gewählten Zeit.
Sperrt Sie der Browser wegen HSTS aus, siehe Fehlerbehebung.