Eigentlich ziemlich simpel – man muss im Vhost des Apaches nur folgenden Code hinterlegen:
Header always add Strict-Transport-Security "max-age=15768000; includeSubDomains; preload" env=HTTPS
Herausforderung bei mir war nur, dass ich meinen Server mit ispconfig steuere. Dort muss man diese Eintragung in den Apache-Direktiven vornehmen. Und gleichzeitig auch dafür sorgen, dass die Webseite nur per SSL erreichbar ist.
Der Check hier bringt nun ein A+ :-)
Hab mir mal die Zeit genommen und meinen alten Server gegen einen neuen ausgetauscht. Dabei habe ich auch gleich mal meine private Webseite – wie man sieht – auf einen ansehnlichen Stand gebracht :)
Beim Aufsetzen neuer Server verwende ich inzwischen gerne die Tutorials von howtoforge. Man muss nur die Kommandos kopieren, an einigen Stellen etwas anpassen – und fertig ist der Server. Ich brauchte z.B. auf Basis dieses Tutorials nicht mal 30 Minuten bis alles lief.
Der größte Aufwand ist dann die Projekteinrichtung darauf. Aber das ist ein anderes Thema :-)