HSTS：浏览器如何强制使用 HTTPS

HTTP 严格传输安全（HSTS）允许 HTTPS 源站通知支持该机制的浏览器，在一段时间内只通过 HTTPS 访问。includeSubDomains 会扩大策略的适用范围；preload 则是浏览器生态中另一套独立的机制，不应随意启用。

HSTS 在浏览器中改变了什么

HSTS 要求浏览器在声明的 max-age 期间内只通过 HTTPS 访问某个网站。浏览器一旦收到该策略，之后再遇到 HTTP 导航时，会在发出普通的未加密请求之前就将其升级为 HTTPS。

如何检查 HSTS

查看 Strict-Transport-Security 响应头及其 max-age 值。在使用 includeSubDomains 之前，请确保所需的子域名都能通过 HTTPS 正常访问。preload 应视为一项单独的、更长期的承诺，而不是常规的 HSTS 开关。实际检测时，可以使用 2IP 服务器服务检测，并借助 2IP 网站信息工具核对网站对外返回的 HTTP 响应。

谨慎使用 includeSubDomains 和 preload

技术参考：RFC 6797。