HTTPS en HSTS
Deze gegevens zijn afkomstig van https://www.forumstandaardisatie.nl/open-standaarden/Https-en-hsts
Over de standaard | |
---|---|
Lijst status | Verplicht (pas toe leg uit) |
Beschrijving | Beveiligde websiteverbinding |
Uitleg | |
Nut |
HTTPS en HSTS zorgen samen voor beveiligde verbindingen met websites, met als doel de veilige uitwisseling van gegevens tussen een webserver en client (vaak een webbrowser). Dit maakt het voor cybercriminelen moeilijker om verkeer om te leiden naar valse websites en om de inhoud van webverkeer te onderscheppen. Bezoekers van een website kunnen een beveiligde verbinding met een website herkennen aan HTTPS in de URL (HTTPS://). De website-identiteitsknop (het hangslot) wordt in de adresbalk weergegeven zodra een bezoeker een beveiligde website bezoekt. |
Werking |
HTTPS zorgt voor het gebruik van HTTP over een met TLS beveiligde verbinding. Dit betekent dat het webverkeer door middel een certificaat wordt versleuteld. HSTS zorgt ervoor dat een webbrowser, na het eerste contact over HTTPS, bij vervolgbezoek de website altijd direct over HTTPS opvraagt. |
Waarvoor geldt de verplichting | Per 1 juli 2023 treedt ‘Besluit beveiligde verbinding met overheidswebsites en -webapplicaties’ in werking waarmee het gebruik van HTTPS en HSTS wettelijk verplicht is. HTTPS en HSTS zijn van toepassing op overheidsorganisaties om hun publiek toegankelijke websites en webapplicaties te beveiligen, niet alleen bij nieuwe aanbestedingen en doorontwikkeling maar ook op bestaande diensten. De streefbeeldafspraak en de 'pas toe of leg uit'-status van HTTPS en HSTS zijn daarmee per 1 juli 2023 verzwaard tot de wettelijke verplichting. Lees de veelgestelde vragen over verplichting HTTPS en HSTS voor overheidswebsites en -webapplicaties. |
Aanvullende verplichtingen | HTTPS en HSTS zijn per 1 juli 2023 wettelijke verplicht volgens het ‘Besluit beveiligde verbinding met overheidswebsites en -webapplicaties’ (Wet digitale overheid). |
Trefwoorden | Website, Informatiebeveiliging, Internet |
Detailinformatie | |
Beheerorganisatie | IETF |
Uitstekend beheer | Nee |
Specificatiedocument | https://www.rfc-editor.org/rfc/rfc9110 , https://tools.ietf.org/html/rfc6797 |
Volledige naam | HyperText Transfer Protocol Secure (HTTPS) en HTTP Strict Transport Security (HSTS) |
Versie | 1.2 |
Inkoop | |
Aandachtspunten | |
Sjabloon-bestektekst | |
CPV-code(s) | |
Implementatie | |
Conformiteitstest | |
Domein | |
Relatie met andere standaarden | |
Toelichting | |
Toetsingsinformatie | |
Hulpmiddelen |
|
Functioneel toepassingsgebied | HTTPS en HSTS moeten worden toegepast op de communicatie tussen clients (zoals webbrowsers) en servers voor alle websites en webservices. |
Organisatorisch werkingsgebied | Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-) publieke sector. |
Toelichting bij opname |
TLS 1.2 staat sinds 2014 op de 'Pas toe of leg uit lijst' van het Forum Standaardisatie. Hiermee gold de 'Pas toe of leg uit' verplichting impliciet al voor HTTPS. Het Nationaal Beraad Digitale Overheid heeft besloten om HTTPS op de 'Pas toe of leg uit lijst' te plaatsen om de verplichting van TLS voor websites expliciet te maken, en om de verplichting van HTTPS te koppelen aan HSTS zodat versleutelde verbindingen ook afgedwongen worden. Het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) heeft in 2018 het functioneel toepassingsgebied aangepast conform de in 2017 vastgestelde standaardsyntaxis . |
Datum van aanmelding | 2016-10-27 |
Datum van besluit | 2017-05-09 |
Europese status (MSP) | Ja |
Documentatie |
|
Forum-Adviezen | |
Advies aan beheerder | |
Adoptieadviezen |
Bij de opname op de ‘Pas toe of leg uit’-lijst heeft het Forum Standaardisatie de volgende oproepen gedaan:
|
Leveranciers |
- Agp-4b-Hamerstuk-Standaardisatie-OBDO-24-mei-2018_8.pdf (Definitief,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/HTTPS en HSTS/Agp-4b-Hamerstuk-Standaardisatie-OBDO-24-mei-2018 8.pdf,PDF Document)
- Expertadvies-HTTPS-en-HSTS.pdf (Expertadvies,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/HTTPS en HSTS/Expertadvies-HTTPS-en-HSTS.pdf,PDF Document)
- FS170419.2A-Forumadvies-HTTPS-en-HSTS.pdf (Forumadvies,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/HTTPS en HSTS/FS170419.2A-Forumadvies-HTTPS-en-HSTS.pdf,PDF Document)
- FS171011.3E-Forumadvies-toepassingsgebieden-IV-standaarden_2.pdf (Forumadvies,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/HTTPS en HSTS/FS171011.3E-Forumadvies-toepassingsgebieden-IV-standaarden 2.pdf,PDF Document)
- Nationaal-Beraad-Advies-HTTPS-en-HSTS.pdf (Advies,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/HTTPS en HSTS/Nationaal-Beraad-Advies-HTTPS-en-HSTS.pdf,PDF Document)
- Reacties-openbare-consultatie-HTTPS-en-HSTS.pdf (Consultatie,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/HTTPS en HSTS/Reacties-openbare-consultatie-HTTPS-en-HSTS.pdf,PDF Document)