Список HSTS preload

Заголовок просит включить домен в список HTTPS-only самих браузеров. Список требует max-age минимум на год и includeSubDomains.

• Помощь

Даже с HSTS самый первый визит на сайт начинается по HTTP: браузер ещё не видел заголовка. Эту брешь закрывает preload-список — перечень доменов, встроенный в Chrome, Firefox, Safari и Edge, которые они открывают только по HTTPS с первого же запроса. Чтобы попасть в него, домен добавляет токен preload в заголовок HSTS и подаёт заявку на hstspreload.org.

Как SiteScan это проверяет

Строка появляется, только если в заголовке HSTS есть preload. Тогда сканер проверяет условия списка, которые видны по заголовку: max-age не меньше года (31 536 000 секунд) и наличие includeSubDomains. Если оба выполнены, строка показывает «Есть»; если нет — жёлтое «Условия не выполнены»: список отклонит домен, хотя заголовок намекает на обратное. Сам список SiteScan не запрашивает, так что подать заявку — ваша задача.

Прежде чем включать

Preload необязателен, и отменить его трудно: исключение из списка доходит до браузеров месяцами. Все поддомены, включая внутренние, должны работать по HTTPS. Полный заголовок выглядит так:

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

HTTP-адрес также должен перенаправлять на HTTPS того же хоста.