HSTS是“HTTP Strict Transport Security”（HTTP严格安全传输）的缩写，开启了这项设置以后，主流浏览器会强制性地使用HTTPS来请求资源，能够更加有效地保护你网站和用户的数据安全。一般情况（未启用HSTS），浏览器会允许用户在了解了安全风险之后继续使用不安全的连接来访问，但如果启用了HSTS，则不允许这样做，所以你得有一定要长期使用HTTPS的打算，才能启动HSTS。并且HSTS是针对整个域名，包括所有的二级域名，并不能单独提交二级域名。

启用HSTS

HSTS 是一个响应头，格式如下：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload;

max-age，单位是秒，用来告诉浏览器在指定时间内，这个网站必须通过 HTTPS 协议来访问。也就是对于这个网站的 HTTP 地址，浏览器需要先在本地替换为 HTTPS 之后再发送请求

includeSubDomains，可选参数，如果指定这个参数，表明这个网站所有子域名也必须通过 HTTPS 协议来访问

preload，可选参数，预加载到浏览器缓存

HSTS 这个响应头只能用于 HTTPS 响应；网站必须使用默认的 443 端口；必须使用域名，不能是 IP。而且启用 HSTS 之后，一旦网站证书错误，用户无法选择忽略。

申请Preload List

HSTS 必须要在浏览器访问过你的网站一次以后才会生效，如果希望提前生效（首次访问就绕过80端口，直接访问443端口，妙用自己琢磨），需要申请 HSTS Preloading List。

目前这个 Preload List 由 Google Chrome 维护，Chrome、Firefox、Safari、IE 11 和 Microsoft Edge 都在使用。如果要想把自己的域名加进这个列表，首先需要满足以下条件：

拥有合法的证书；

将所有 HTTP 流量重定向到 HTTPS；

确保所有子域名都启用了 HTTPS；

输出 HSTS 响应头：

max-age 不能低于 18 周（10886400 秒）；

必须指定 includeSubdomains 参数；

必须指定 preload 参数；

满足上述所有条件之后，就可以去 https://hstspreload.org/ 提交申请加入preload list了, 不过加入容易退出难，所以一定要考虑好了再提交申请哦