HSTS

Как это работает

Заголовок Strict-Transport-Security позволяет браузеру запомнить требование HTTPS на срок max-age. При определённых настройках правило распространяется на поддомены.

Почему это важно

Слишком раннее includeSubDomains или preload может сделать неподготовленные поддомены недоступными для пользователей. HSTS не заменяет правильный сертификат.

Что проверить

Сначала наладьте HTTPS на всех нужных хостах, затем включайте HSTS постепенно и контролируйте заголовок.

Пример

Пример: Strict-Transport-Security: max-age=31536000 — образец, а не рекомендация включать его без проверки.