RFC 6797 definierte HTTP Strict Transport Security im November 2012. Es geht um einen bestehenden Standard, nicht um eine neue Oktober-Vorgabe. Mit HSTS teilt eine Website dem Browser mit, künftig HTTPS zu verwenden. Eine gewöhnliche HTTP-Weiterleitung setzt dagegen zunächst eine möglicherweise unverschlüsselte Anfrage voraus.

MDN erläutert die Lücke beim Erstbesuch: Kennt der Browser die Regel noch nicht, kann die erste Verbindung über HTTP erfolgen. Eine gespeicherte HSTS-Regel verändert spätere Anfragen bereits davor. Browser-Preloading kann diese Anfangslücke schließen; ein gesetzter Header bedeutet aber nicht automatisch einen Eintrag in den Preload-Listen.

Frage bei der Hosting-Auswahl nach Zertifikatswartung, Header-Auslieferung und erfassten Subdomains. includeSubDomains dehnt die Regel auf Unterdomains aus. Erfasse deren Dienste vor der Aktivierung: Eine ältere Subdomain ohne funktionierendes HTTPS kann für Browser mit dieser Regel unerreichbar werden.

Entscheidend sind ein dokumentierter HTTPS-Rollout und die Zertifikatserneuerung, nicht nur ein HSTS-Häkchen. Die Regel bestätigt weder die Seriosität eines Shops noch beseitigt sie Anwendungsfehler. YNIX hat hier keinen Hosting-Anbieter geprüft und ändert mit diesem Briefing keine Domain.