HSTS

HSTS（HTTP 严格传输安全）用 HTTP 头声明站点仅用 HTTPS，防止 SSL 剥离与降级攻击。

用途

强制浏览器始终用 HTTPS 访问站点，即使用户输入 HTTP。

机制

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload。浏览器记下后，在 max-age 内自动将 HTTP 转为 HTTPS。preload 可加入浏览器内置列表（HSTS Preload List）。

用例

SSL 剥离防御
强制 HTTPS 升级
子域保护
preload 列表

示例

输入

max-age=31536000; preload

输出

HTTPS enforced for one year

With preload

常见错误

Without HSTS, the first HTTP visit is exposed to man-in-the-middle attackers: Set HSTS and join the preload list

相关词条

TLS（传输层安全）协议在传输层提供加密、完整性与认证，取代 SSL，是 HTTPS、SMTPS 等的安全基础。

HTTPS 是 HTTP over TLS，在传输层加密 HTTP 通信，提供机密性、完整性与服务器认证，是现代 Web 标准。

Security Header

安全 HTTP 头是服务器响应中指示浏览器启用安全机制的头部，如 CSP、HSTS、X-Frame-Options 等。

参考链接