HTTPS 是现代网站安全的基石，而 HTTP Strict Transport Security（HSTS） 是确保浏览器强制使用加密连接的关键机制。通过 HSTS，服务器可以告诉浏览器只能通过 HTTPS 访问，有效防范中间人攻击（MITM）和协议降级攻击。

🛡️ HSTS 的核心作用

  1. 强制 HTTPS
    浏览器会自动将 HTTP 请求重定向为 HTTPS，避免用户手动输入错误协议时的安全风险。
    ✅ 示例：Strict-Transport-Security: max-age=31536000; includeSubDomains

  2. 防止协议降级
    禁止浏览器与服务器协商使用明文 HTTP，确保所有通信加密。

  3. 增强用户信任
    浏览器地址栏的锁形图标会更明确地显示加密连接状态，提升安全性感知。

🛠️ 配置 HSTS 的注意事项

  • max-age：定义 HSTS 策略生效时间（以秒为单位），建议设置为一年（31536000）。
  • includeSubDomains：若需对子域名生效，添加此参数。
  • preload：将域名加入浏览器预加载列表（需通过 HSTS Preload Submission 申请）。

⚠️ 注意：配置前务必确保服务器支持 HTTPS，否则会导致用户无法访问站点。

📌 本站扩展阅读

如需深入了解 HTTPS 配置实践，可参考：
🔗 /guides/https_configuration

HSTS_icon
HTTPS_security