Syntax: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload, gesendet über HTTPS (über HTTP ignorieren Browser den Header). Solange max-age nicht abgelaufen ist, schreibt der Browser URLs mit http:// in https:// um, bevor überhaupt eine Anfrage hinausgeht; das vereitelt nach dem ersten Besuch SSL-Stripping-Angriffe.
Der erste Besuch bleibt angreifbar, und diese Lücke schließt die Preload-Liste: Domains, die bei hstspreload.org eingereicht werden, sind fest in Chrome, Firefox, Safari und Edge einkompiliert. Zu den Voraussetzungen gehören ein gültiges Zertifikat, eine Weiterleitung von HTTP auf HTTPS auf demselben Host, HTTPS auf allen Subdomains und ein Header mit max-age von mindestens 31.536.000 Sekunden, includeSubDomains und preload. Eine Entfernung aus der Liste erreicht die Browser der Nutzer erst nach Monaten, teste deshalb zuerst mit kurzen Werten für max-age. Ganze Top-Level-Domains wie .dev und .app stehen vollständig auf der Preload-Liste.