Inleiding Sinds 1 juli zijn overheden verplicht om ervoor te zorgen dat hun publieke websites https en HSTS (HTTP Strict Transport Security) ondersteunen (zie https://security.nl/posting/801781/HTTPS+en+HSTS+voortaan+verplicht+voor+alle+overheidswebsites+en+webapps). Helaas lijken maar weinigen te beseffen hoe je HSTS correct configureert, zodanig dan bezoekers van een website daar optimaal van profiteren. Al in 2018 wees Bitwiper hierop in https://security.nl/posting/566101/NL:+veel+brakke+https+sites. Zelf heb ik hier ook meermaals aandacht aan besteed, o.a. in https://security.nl/posting/797052: sites zoals https://gemeente.amsterdam/ en https://www.werkenbij.amsterdam/ zijn alleen bereikbaar als je https vervangt door http; het ontbreken van ondersteuning voor https door deze (doorsturende) websites lijkt mij een overtreding van de nieuwe wet. In april constateerde ik dat ook uwv.nl (zonder www. ervoor) geen https ondersteunde: zie https://security.nl/posting/793201. Dat is ondertussen gefixed. ...