Webseite jetzt "HTTPS-only"

Geschrieben von Olaf Willuhn am
Mit Let’s Encrypt gibt es ja endlich frei verfügbare SSL-Zertifikate für jedermann. Eine tolle Sache, wie ich finde. Und ich freue mich auch, dass Let's Encrypt hier tatsächlich einen weltweiten Durchbruch geschafft hat und der Anteil verschlüsselter Webseiten seither signifikant steigt.

Ich finde, dass die Zeit inzwischen wirklich reif ist, auf "HTTPS-Only" umzustellen. Sprich: Alle Webseiten grundsätzlich per HTTPS auszuliefern. Unverschlüsseltes HTTP kann hierbei aber nicht einfach abgeschaltet werden, da existierende HTTP-Links dann ja nicht mehr funktionieren würden. Daher habe ich den Webserver jetzt so umkonfiguriert, dass alle HTTP-Requests automatisch auf HTTPS umgeleitet werden.

BTW: Die neue - ab kommenden Freitag gültige - Datenschutzgrundverordnung (DSGVO) sieht die Verschlüsselung bei der Übertragung personenbezogener Daten ohnehin implizit vor (Art. 32 DSGVO):
Unter Berücksichtigung des Stands der Technik [...] treffen der Verantwortliche [...] geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:
  1. die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
  2. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
  3. [...]