HSTS-Header-Wert mit max-age und preload erstellen
Eine Dauer von 31536000 Sekunden mit beiden Optionen ergibt eine einzige Zeile: zuerst max-age, dann includeSubDomains, dann preload. Übernehmen Sie sie in Ihren Server oder Ihre Proxy-Regel, ohne Teile von Hand zusammenzusetzen. Kostenlos in Ihrem Browser.
- Kostenlos
- Läuft in Ihrem Browser
- Ohne Anmeldung
- Ihre Daten bleiben auf Ihrem Gerät
Im Browser ausführen – kostenlos
Rechenbeispiel
- Maximales Alter (max-age)
- 31.536.000
- Wert
- max-age=31536000; includeSubDomains; preload
Dieser Generator für HSTS-Header-Werte wandelt eine Dauer in Sekunden und zwei eindeutige boolesche Optionen in einen korrekt geordneten Strict-Transport-Security-Wert um. Er beginnt stets mit der erforderlichen max-age-Direktive und ergänzt includeSubDomains sowie preload nur auf Ihren Wunsch. Negative Laufzeiten und falsche Feldtypen werden abgelehnt, statt daraus eine scheinbar plausible Konfiguration zu erzeugen, die nicht der beabsichtigten Browserrichtlinie entspricht.
Wählen Sie max-age als bewusst festgelegte Richtliniendauer
Der Generator nimmt diese Dauer als nicht negative Ganzzahl entgegen und schreibt sie ohne Exponentialschreibweise, Rundung oder angehängte Einheit an die erste Stelle. Null ist gültig und wird häufig verwendet, um Browser zur Löschung einer zuvor gespeicherten HSTS-Richtlinie aufzufordern. Positive Werte halten die Richtlinie aktiv, bis die gespeicherte Frist endet oder eine spätere gültige Antwort sie ersetzt.
Wählen Sie den Wert entsprechend Ihrer Bereitstellungs- und Rücksetzstrategie, nicht als bloßes Formatierungsdetail.
Verstehen Sie die Reichweite von includeSubDomains und preload
Erfassen Sie deshalb vorher delegierte DNS-Zonen und unabhängig betriebene Dienste. Das preload-Token hat eine andere Bedeutung: Es bekundet eine Absicht im Zusammenhang mit Browser-Vorladelisten, meldet die Domain jedoch nicht an, garantiert keine Aufnahme und ändert eine Liste nicht unmittelbar. Die Programme besitzen eigene aktuelle Aufnahme- und Entfernungsbedingungen, die Sie getrennt prüfen müssen.
Der Generator lässt beide Optionen unabhängig zu, weil er den Header deterministisch zusammensetzt und keine Regeln eines bestimmten Programms erzwingt. Ausgewählte Tokens erscheinen mit üblicher Schreibweise nach max-age in stabiler Reihenfolge; ausgelassene oder falsche Optionen erscheinen gar nicht. Die feste Reihenfolge erleichtert Konfigurationsprüfungen, Referenztests und Vergleiche erzeugter Infrastrukturdateien.
Stellen Sie den erzeugten Wert sicher bereit und prüfen Sie ihn
Übernehmen Sie den zurückgegebenen Wert in den Strict-Transport-Security-Antwortheader und behandeln Sie ihn nicht als vollständige Headerzeile. Webserver-Konfigurationen bieten gewöhnlich ein Feld für den Namen und eines für den Wert. Testen Sie die endgültige Antwort am öffentlichen Rand, weil Anwendungscode, Proxy, Auslieferungsnetz oder Hosting-Oberfläche den Header überschreiben, verdoppeln oder entfernen können.
Eine stufenweise Einführung kann mit einer kurzen positiven Dauer beginnen; nach Überwachung und bestätigter Zuverlässigkeit aller betroffenen Hosts folgt eine geplante Erhöhung. Prüfen Sie bei includeSubDomains auch repräsentative verschachtelte Hosts. Kontrollieren Sie bei preload die Programmanforderungen separat, bevor Sie die Domain einreichen.
Die Funktion arbeitet rein und deterministisch: Gleiche Eingaben ergeben dieselbe Zeichenfolge, keine Anfrage verlässt die Laufzeit und keine Konfiguration wird gespeichert.
Anwendungsfälle
Reverse-Proxy-Konfiguration erzeugen
Wandeln Sie geprüfte HSTS-Einstellungen in einen stabilen Wert für Proxy, Lastverteiler oder Randregel um.
Infrastrukturvorlagen vereinheitlichen
Nutzen Sie in allen Umgebungen dieselbe Schreibweise und Reihenfolge, ohne Zeichenfolgen manuell zusammenzusetzen.
Eine HSTS-Einführung planen
Vergleichen Sie kurze, lange, subdomainweite und vorladebereite Richtlinien vor einer Produktionsänderung.
Häufige Fragen
Enthält das Ergebnis auch den Headernamen?
Nein. Der Wert gehört in das von Ihrem Server, Proxy oder Ihrer Anwendung konfigurierte Feld Strict-Transport-Security.
Darf max-age null sein?
Ja. Null ist gültig und fordert einen unterstützten Browser auf, die gespeicherte HSTS-Richtlinie für diesen Host ablaufen zu lassen.
Was geschieht bei einem negativen max-age?
Die Anfrage endet mit einem Fehler für ungültige Eingaben, da eine negative Dauer keine gültige max-age-Direktive ergibt.
Bringt preload meine Domain auf eine Vorladeliste?
Nein. Es ergänzt lediglich das Token. Vorladeprogramme haben getrennte Verfahren für Eignung, Anmeldung und Entfernung.
Sollte ich includeSubDomains immer aktivieren?
Die Direktive erweitert die Richtlinie auf den ganzen Domainbaum.
Verwandte Tools
Für Entwickler — API-Zugang
Alles auf dieser Seite ist auch per API verfügbar. Dieser Abschnitt richtet sich an Teams, die es in ihre eigenen Systeme einbinden möchten; alle anderen nutzen einfach das Tool oben.
Endpunkt
Authentifizierung per Bearer-Token. Ein einziger POST stellt die Aufgabe in die Warteschlange; das Ergebnis erhalten Sie per Webhook oder über einen signierten Link.
Aufruf aus Ihrem Stack
curl -X POST https://api.kit.forhosting.com/security/hsts-header-build \
-H "Authorization: Bearer $KIT_KEY" \
-H "Content-Type: application/json" \
-d '{"max_age":31536000}'const res = await fetch("https://api.kit.forhosting.com/security/hsts-header-build", {
method: "POST",
headers: {
"Authorization": `Bearer ${process.env.KIT_KEY}`,
"Content-Type": "application/json"
},
body: JSON.stringify({
"max_age": 31536000
})
});
const { task_id } = await res.json();import os, requests
res = requests.post(
"https://api.kit.forhosting.com/security/hsts-header-build",
headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
json={
"max_age": 31536000
},
)
task_id = res.json()["task_id"]<?php
$res = file_get_contents("https://api.kit.forhosting.com/security/hsts-header-build", false, stream_context_create([
"http" => [
"method" => "POST",
"header" => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
"content" => '{"max_age":31536000}',
],
]));
$task = json_decode($res, true);body := bytes.NewBufferString(`{"max_age":31536000}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/security/hsts-header-build", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)Beispiel-Anfrage
{
"max_age": 31536000
}Beispiel-Antwort
{
"task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
"type": "security.hsts_header_build",
"status": "queued",
"_links": {
"result": "/tasks/tsk_…/result"
}
}Die API arbeitet asynchron: Sie erhalten sofort eine task_id. Polling ist mit 1 Anfrage pro Sekunde erlaubt.
Preis
Der Preis steht auf der Seite – keine Tokens, keine Credits. Fehlgeschlagene Aufgaben werden nicht berechnet.
Fehler
| HTTP | Code | Bedeutung |
|---|---|---|
401 | unauthorized | Der API-Schlüssel fehlt oder ist ungültig – prüfen Sie den Authorization-Header (Bearer). |
402 | insufficient_balance | Ihr Guthaben reicht für diese Aufgabe nicht aus – Aufladungen verfallen nicht. |
404 | unknown_type | Unbekannter Aufgabentyp – prüfen Sie das Feld „type“ gegen den Katalog. |
429 | rate_limited | Zu viele Anfragen – warten Sie kurz; Polling ist mit 1 Anfrage pro Sekunde erlaubt. |
Technische Hinweise
Das Ergebnis eignet sich direkt für einen HTTPS-Antwortheader, eine Reverse-Proxy-Regel oder eine Infrastrukturvorlage.
Wählen Sie max-age als bewusst festgelegte Richtliniendauer
Die erforderliche max-age-Direktive teilt einem unterstützten Browser mit, wie viele Sekunden er sich merken soll, dass ein Host ausschließlich über HTTPS erreichbar sein muss. Prüfen Sie vor einer Erhöhung, ob HTTPS für alle Pfade funktioniert, Zertifikate zuverlässig erneuert werden und Weiterleitungen keine reine HTTP-Abhängigkeit verdecken. Das Werkzeug lehnt Brüche, fehlende, nicht numerische und negative Werte ab, weil diese die geforderten ganzen Sekunden nicht sicher darstellen. Ausgegeben wird nur der Wert; Ihr Server oder Proxy muss ihn in einer HTTPS-Antwort mit dem Feldnamen Strict-Transport-Security verbinden.
Verstehen Sie die Reichweite von includeSubDomains und preload
Aktivieren Sie includeSubDomains, wenn die reine HTTPS-Richtlinie sowohl für den benannten Host als auch für jeden darunterliegenden Host gelten soll. Damit lässt sich ein ganzer Domainbaum schützen; zugleich kann aber eine Entwicklungs-, Anbieter- oder Alt-Subdomain ohne funktionierendes HTTPS unerreichbar werden.
Stellen Sie den erzeugten Wert sicher bereit und prüfen Sie ihn
Senden Sie HSTS nur über HTTPS: Browser ignorieren die Angabe über eine unsichere Verbindung, und eine HTTP-Weiterleitung allein richtet die gespeicherte Richtlinie nicht ein. Im Browser läuft sie lokal; jede automatisierte API-Anfrage kostet $0.002.
Technische Fragen
Was kostet eine API-Anfrage?
Jede API-Anfrage kostet $0.002. Derselbe reine Generator kann lokal im Browser ausgeführt werden.