HTTP 头与缓存70 条

HSTS 强制 HTTPS

Strict-Transport-Security：要求浏览器在指定时间内只用 HTTPS 访问本站，杜绝 SSL 剥离降级。

协议速查网络更新于 2026-10-12

名称	Strict-Transport-Security（HSTS）
作用	强制后续访问使用 HTTPS
规范	RFC 6797
参数	max-age=秒；includeSubDomains；preload

Nginx 配置

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
# 首次仍可能走 HTTP，靠 301 跳转或 preload 列表弥补首次降级窗口

max-age 一旦下发，浏览器在该时段强制 HTTPS（无法用 HTTP 回退）；上线前确认全站及子域都具备证书，否则会把用户挡在门外。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌