HSTS(HTTP Strict Transport Security,RFC 6797)是一种 Web 安全策略机制,通过响应头 Strict-Transport-Security 告知浏览器:在指定时间内,必须仅使用 HTTPS 访问该域名及其子域名,禁止任何形式的 HTTP 回退或明文降级。
启用 HSTS 后,浏览器会在本地缓存该策略(由 max-age 参数控制),即使用户手动输入 http:// 或点击 HTTP 链接,浏览器也会自动将请求重写为 HTTPS,并拒绝加载任何不安全的混合内容。该机制可有效缓解 SSL Stripping、证书警告绕过等中间人攻击风险。
实际部署中,HSTS 依赖于有效的 TLS 连接建立——首次访问仍需一次明文 HTTP 请求(除非已预载入浏览器 HSTS Preload List)。因此,建议与有效的 ssl证书 配合使用,并优先启用 includeSubDomains 和 preload 指令以增强保护范围。
加密您的网站,赢得客户信任!