Door donderslag: Op zich is dit een hartstikke goede actie. Maar is het niet zo dat http/2 en http/3 niet hetzelfde doen? Er is geen strikte vereiste om gebruik te maken van TLS bij het gebruik van http/2, al hebben alle grote browser besloten om dit wel te vereisten. Het gebruik van http/2 wordt echter pas afgesproken in de TLS handshake, via de ALPN extensie. Het gebruik van http/2 is dus nog niet bekend op het moment dat je moet kiezen tussen een http (80/tcp) of https (443/tcp) verbinding. Daarmee is het ook niet mogelijk om de http downgrade aanvallen te voorkomen door het gebruik van http/2. De naam http/3 verwijst naar het gebruik van http over QUIC. Daar speelt echter een vergelijkbaar probleem dat de beschikbaarheid bekend gemaakt wordt via Alt-Svc headers van de website. Net als bij http/2 is dit niet voor het opzetten van een eerste connectie te bepalen. Op dit moment is de enige manier om https goed af te wringen het gebruik van HSTS headers en je website op de HSTS preload list te plaatsen. Op ...