Syntaxe : Strict-Transport-Security: max-age=63072000; includeSubDomains; preload, envoyé en HTTPS (les navigateurs l’ignorent en HTTP). Jusqu’à l’expiration de max-age, le navigateur réécrit les URL http:// en https:// avant que la moindre requête ne parte, ce qui déjoue les attaques par SSL stripping après la première visite.
La première visite reste exposée, ce que corrige la liste de préchargement : les domaines soumis sur hstspreload.org sont intégrés à Chrome, Firefox, Safari et Edge. Les conditions comprennent un certificat valide, une redirection de HTTP vers HTTPS sur le même hôte, HTTPS sur tous les sous-domaines et un en-tête avec un max-age d’au moins 31 536 000 secondes, includeSubDomains et preload. Un retrait met des mois à atteindre les utilisateurs : testez donc d’abord avec des valeurs de max-age courtes. Des domaines de premier niveau entiers, comme .dev et .app, sont préchargés.