{ "title": "HSTS", "seo_title": "HSTS: betekenis, preload en instellen op WordPress", "h1": "HSTS", "description": "HSTS uitgelegd: hoe Strict-Transport-Security HTTPS afdwingt, het probleem van het eerste bezoek, de preloadlijst en een veilige invoering op WordPress.", "lead": "HSTS (HTTP Strict Transport Security) is een HTTP-header die de browser opdraagt een site gedurende een bepaalde tijd alleen via HTTPS te benaderen. Na het eerste beveiligde bezoek wordt elk HTTP-adres vóór verzending omgezet naar HTTPS, en kun je certificaatfouten niet meer negeren.", "language": "nl", "locale": "nl-NL", "type": "definition", "url": "https://www.wp-masquerade.com/nl/woordenlijst/hsts/", "canonical": "https://www.wp-masquerade.com/nl/woordenlijst/hsts/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/hsts/index.md", "json": "https://www.wp-masquerade.com/nl/woordenlijst/hsts/index.json", "published": "2026-10-28T08:00:00+00:00", "modified": "2026-10-28T20:05:27+00:00", "site": { "name": "WP Masquerade", "url": "https://www.wp-masquerade.com/nl/" }, "translations": [ { "language": "nl", "hreflang": "nl-NL", "title": "HSTS", "url": "https://www.wp-masquerade.com/nl/woordenlijst/hsts/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/hsts/index.md", "json": "https://www.wp-masquerade.com/nl/woordenlijst/hsts/index.json" }, { "language": "en", "hreflang": "en-US", "title": "HSTS", "url": "https://www.wp-masquerade.com/glossary/hsts/", "markdown": "https://www.wp-masquerade.com/glossary/hsts/index.md", "json": "https://www.wp-masquerade.com/glossary/hsts/index.json" }, { "language": "fr", "hreflang": "fr-FR", "title": "HSTS", "url": "https://www.wp-masquerade.com/fr/definitions/hsts/", "markdown": "https://www.wp-masquerade.com/fr/definitions/hsts/index.md", "json": "https://www.wp-masquerade.com/fr/definitions/hsts/index.json" }, { "language": "es", "hreflang": "es-ES", "title": "HSTS", "url": "https://www.wp-masquerade.com/es/glosario/hsts/", "markdown": "https://www.wp-masquerade.com/es/glosario/hsts/index.md", "json": "https://www.wp-masquerade.com/es/glosario/hsts/index.json" }, { "language": "de", "hreflang": "de-DE", "title": "HSTS", "url": "https://www.wp-masquerade.com/de/glossar/hsts/", "markdown": "https://www.wp-masquerade.com/de/glossar/hsts/index.md", "json": "https://www.wp-masquerade.com/de/glossar/hsts/index.json" }, { "language": "it", "hreflang": "it-IT", "title": "HSTS (HTTP Strict Transport Security)", "url": "https://www.wp-masquerade.com/it/glossario/hsts/", "markdown": "https://www.wp-masquerade.com/it/glossario/hsts/index.md", "json": "https://www.wp-masquerade.com/it/glossario/hsts/index.json" }, { "language": "pt", "hreflang": "pt-BR", "title": "HSTS", "url": "https://www.wp-masquerade.com/pt/glossario/hsts/", "markdown": "https://www.wp-masquerade.com/pt/glossario/hsts/index.md", "json": "https://www.wp-masquerade.com/pt/glossario/hsts/index.json" } ], "headings": [ { "level": 1, "text": "HSTS" }, { "level": 2, "text": "Hoe HSTS werkt" }, { "level": 2, "text": "Het eerste bezoek en preloading" }, { "level": 2, "text": "Voor WordPress" }, { "level": 2, "text": "Veelgemaakte fouten" } ], "body": "HSTS werd in november 2012 gestandaardiseerd in RFC 6797. Het doel is een gat te dichten dat een gewone redirect van HTTP naar HTTPS openlaat: zolang een bezoeker `voorbeeld.nl` intypt zonder protocol, begint zijn browser met een onversleuteld verzoek. Op openbare wifi kan een aanvaller die ertussen zit dat verzoek onderscheppen en het slachtoffer op HTTP houden, een aanval die bekendstaat als SSL stripping. Met HSTS onthoudt de browser dat de site HTTPS vereist en probeert hij de onversleutelde versie niet eens meer.\n\n## Hoe HSTS werkt\n\nDe server voegt de header `Strict-Transport-Security` toe aan zijn HTTPS-antwoorden. Er zijn drie directives:\n\n- `max-age` (verplicht): de tijd, in seconden, dat de browser de instructie onthoudt;\n- `includeSubDomains`: past de regel toe op alle subdomeinen;\n- `preload`: geeft aan dat het domein in de preloadlijst van browsers mag worden opgenomen.\n\n```\nStrict-Transport-Security: max-age=31536000; includeSubDomains\n```\n\nDe RFC schrijft twee belangrijke gedragingen voor. Ten eerste negeert een browser de header als die via HTTP binnenkomt, zodat een tussenpersoon hem niet kan toevoegen of wissen. Ten tweede verbreekt elke fout in het [TLS-certificaat](https://www.wp-masquerade.com/nl/woordenlijst/tls-certificaat/) van een HSTS-site de verbinding: de gebruiker heeft geen knop meer om \"toch door te gaan\".\n\n![Tabel in drie kolommen: bij het eerste bezoek blijft het eerste HTTP-verzoek blootgesteld vóór de redirect en de ontvangst van de header; bij volgende bezoeken schakelt de browser zelf over op HTTPS en blokkeert hij certificaatfouten; met de preloadlijst geldt HTTPS al vanaf het allereerste bezoek, maar verwijderen duurt maanden](https://www.wp-masquerade.com/media/2026/10/hsts-premiere-visite-nl-1.webp)\n\n*HSTS beschermt vanaf het tweede bezoek; alleen de preloadlijst dekt ook het eerste.*\n\n## Het eerste bezoek en preloading\n\nHSTS heeft een zwakte die zowel MDN als de RFC erkennen: het werkt pas na een eerste geslaagde beveiligde verbinding. Om dat gat te dichten, houdt Chrome een lijst bij met domeinen die in de browser is ingebouwd, en ook Firefox, Safari en Edge baseren zich daarop. De site `hstspreload.org` vereist een geldig certificaat, een redirect van HTTP naar HTTPS, alle subdomeinen op HTTPS en een header met een `max-age` van minstens 31536000 seconden (een jaar), `includeSubDomains` en `preload`. De site waarschuwt dat opname moeilijk terug te draaien is en dat verwijdering maanden nodig heeft om gebruikers te bereiken.\n\n*Video: “hsts beveiliging tegen sslstrip aanvallen” (Mindert Aardema)*\n\n## Voor WordPress\n\nWordPress verstuurt zelf geen HSTS. Controleer voordat je het inschakelt of de hele site via [HTTPS](https://www.wp-masquerade.com/nl/woordenlijst/tls-ssl/) werkt: adressen in Instellingen, Algemeen, gemengde inhoud opgelost, automatische verlenging van het certificaat (vaak via [Let's Encrypt](https://www.wp-masquerade.com/nl/woordenlijst/lets-encrypt/) bij je hostingprovider). Onze gids HTTPS op WordPress loopt die stappen door.\n\n1. Begin met een korte `max-age` (300 seconden, daarna een week), zonder `includeSubDomains`.\n2. Controleer elk subdomein (webmail, staging, extranet) voordat je `includeSubDomains` toevoegt.\n3. Ga naar een jaar zodra alles stabiel is; vraag preloading pas als laatste aan.\n4. Zet de header op één plek (server, CDN of plugin) om twee tegenstrijdige waarden te voorkomen.\n\nHSTS hoort bij de [beveiligingsheaders](https://www.wp-masquerade.com/nl/woordenlijst/http-beveiligingsheaders/) die auditprogramma's controleren. Het effect op SEO is indirect, zoals het artikel [HTTPS, HSTS en wat Google echt meeweegt](https://www.wp-masquerade.com/nl/https-beveiligingsheaders-seo-vertrouwen/) uitlegt.\n\n## Veelgemaakte fouten\n\n- Een jaar HSTS met `includeSubDomains` inschakelen terwijl een subdomein nog op HTTP draait: dat wordt onbereikbaar voor bezoekers die de header hebben ontvangen.\n- Denken dat je terug kunt door de optie uit te zetten: om HSTS uit te schakelen moet je `max-age=0` via HTTPS versturen, wat een nog geldig certificaat vereist.\n- Het certificaat laten verlopen: met HSTS kan de bezoeker de waarschuwing niet meer omzeilen.\n\nWP Masquerade Pro biedt HSTS als optie in het onderdeel [Beveiligingsheaders](https://www.wp-masquerade.com/nl/functies/beveiligingsheaders/), met een `max-age` van een jaar en nooit via HTTP verstuurd. De interface herinnert je eraan dat browsers de header blijven onthouden, ook na uitschakelen: zet het alleen aan op een site die blijvend op HTTPS draait.\n\n## Gerelateerde termen\n\n- [TLS / SSL](https://www.wp-masquerade.com/nl/woordenlijst/tls-ssl/)\n- [TLS-certificaat](https://www.wp-masquerade.com/nl/woordenlijst/tls-certificaat/)\n- [HTTP-beveiligingsheaders](https://www.wp-masquerade.com/nl/woordenlijst/http-beveiligingsheaders/)\n- [Let's Encrypt](https://www.wp-masquerade.com/nl/woordenlijst/lets-encrypt/)\n- [Content Security Policy (CSP)](https://www.wp-masquerade.com/nl/woordenlijst/content-security-policy/)\n\n\n## Bronnen\n\n- [RFC 6797 : HTTP Strict Transport Security (HSTS)](https://www.rfc-editor.org/rfc/rfc6797)\n- [MDN : Strict-Transport-Security](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security)\n- [HSTS Preload List Submission](https://hstspreload.org/)", "definition": "HSTS (HTTP Strict Transport Security) is een HTTP-header die de browser opdraagt een site gedurende een bepaalde tijd alleen via HTTPS te benaderen. Na het eerste beveiligde bezoek wordt elk HTTP-adres vóór verzending omgezet naar HTTPS, en kun je certificaatfouten niet meer negeren.", "group": "Webbeveiliging", "aka": [ "HTTP Strict Transport Security", "Strict-Transport-Security", "HSTS preload", "HSTS-preloading" ], "related": [ { "title": "TLS / SSL", "url": "https://www.wp-masquerade.com/nl/woordenlijst/tls-ssl/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/tls-ssl/index.md" }, { "title": "TLS-certificaat", "url": "https://www.wp-masquerade.com/nl/woordenlijst/tls-certificaat/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/tls-certificaat/index.md" }, { "title": "HTTP-beveiligingsheaders", "url": "https://www.wp-masquerade.com/nl/woordenlijst/http-beveiligingsheaders/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/http-beveiligingsheaders/index.md" }, { "title": "Let's Encrypt", "url": "https://www.wp-masquerade.com/nl/woordenlijst/lets-encrypt/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/lets-encrypt/index.md" }, { "title": "Content Security Policy (CSP)", "url": "https://www.wp-masquerade.com/nl/woordenlijst/content-security-policy/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/content-security-policy/index.md" } ], "sources": [ { "title": "RFC 6797 : HTTP Strict Transport Security (HSTS)", "url": "https://www.rfc-editor.org/rfc/rfc6797" }, { "title": "MDN : Strict-Transport-Security", "url": "https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security" }, { "title": "HSTS Preload List Submission", "url": "https://hstspreload.org/" } ], "format": "application/json" }