Verschlüsselung und Transport
Jede Seite über HTTPS, der Browser merkt sich das (HSTS), Live-Verbindungen laufen verschlüsselt, und beim Absprung bleibt die Adresse privat.
5 Prüfpunkte
Die Seite läuft ohne Verschlüsselung
Was Besucher in Formulare eintragen, reist im Klartext durchs Netz und ist mitlesbar. Browser warnen vor solchen Seiten.
Was zu tun ist: Ihr Hoster richtet ein Zertifikat ein (meist kostenlos), leitet alle Aufrufe auf die verschlüsselte Adresse um und erzwingt sie künftig.
Die Pflicht zur Verschlüsselung fehlt
Ihre Website sagt dem Browser nicht, dass sie nur verschlüsselt zu laden ist. Tippt ein Besucher die Adresse ohne https ein oder folgt er einem alten Link, geht die erste Anfrage unverschlüsselt über das Netz; in einem offenen WLAN kann sie jemand umlenken.
Was zu tun ist: Ihr Hoster oder Ihre Agentur setzt die Kopfzeile Strict-Transport-Security für die ganze Website, zuerst mit kurzer Dauer, dann für mindestens sechs Monate.
Die Pflicht zur Verschlüsselung gilt nicht überall
Der Browser merkt sich, dass Ihre Seite verschlüsselt zu laden ist, aber nur für kurze Zeit oder nur für diese eine Adresse. Wo die Pflicht fehlt, kann ein Angreifer im selben WLAN eine unverschlüsselte Fassung unterschieben.
Was zu tun ist: Ihr Hoster verlängert die Merkdauer auf mindestens sechs Monate und nimmt alle Adressen unter Ihrer Domain mit auf.
Eine Live-Verbindung läuft unverschlüsselt
Die Seite ist verschlüsselt, ihre Live-Verbindung für Chat oder Aktualisierungen nicht. Was dort läuft, kann im Netz mitgelesen werden.
Was zu tun ist: Ihre Agentur stellt die Live-Verbindung auf die verschlüsselte Variante um; das Zertifikat der Seite reicht dafür.
Formularseiten geben ihre volle Adresse weiter
Auf Seiten mit Anmeldung oder Formular wird die volle Adresse samt Angaben an fremde Anbieter weitergegeben. Dort kann Persönliches stehen.
Was zu tun ist: Ihre Agentur setzt am Server die Einstellung, die Dritten nur den Domainnamen mitteilt, vor allem auf Anmelde- und Formularseiten.
