证书运维排查49 条

HSTS 锁死与本地清理

HSTS 强制浏览器使用 HTTPS，一旦证书异常或 HTTPS 停服，在 max-age 有效期内无法通过点击继续访问；本地清理需删除该域名的 HSTS 策略后重试。

关键参数	max-age（秒）、includeSubDomains、preload
本地清理	Chrome 的 chrome://net-internals/#hsts 删除域名策略；Firefox 清理 SiteSecurityServiceState
影响范围	含 includeSubDomains 时覆盖所有子域

响应头示例（先小额 max-age 验证）

add_header Strict-Transport-Security "max-age=300" always;
# 稳定后逐步提高到 31536000 并考虑 includeSubDomains

证书故障期间 HSTS 用户无法忽略警告；新的域名启用 HSTS 建议先短 max-age 观察，再逐步放大。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌