Sintaxis: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload, enviado por HTTPS (los navegadores lo ignoran si llega por HTTP). Hasta que vence max-age, el navegador reescribe las URL http:// como https:// antes de que salga ninguna solicitud, lo que frustra los ataques de SSL stripping después de la primera visita.
La primera visita sigue expuesta, y eso lo resuelve la lista de precarga: los dominios enviados en hstspreload.org quedan integrados en Chrome, Firefox, Safari y Edge. Entre los requisitos están un certificado válido, una redirección de HTTP a HTTPS en el mismo host, HTTPS en todos los subdominios y un encabezado con max-age de al menos 31.536.000 segundos, includeSubDomains y preload. La retirada de la lista tarda meses en llegar a los usuarios, así que prueba primero con valores cortos de max-age. Algunos dominios de nivel superior completos, como .dev y .app, están precargados.