Sintaxe: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload, enviado por HTTPS (os navegadores o ignoram quando chega por HTTP). Até max-age expirar, o navegador reescreve URLs http:// para https:// antes que qualquer requisição saia, o que neutraliza ataques de SSL stripping depois da primeira visita.
A primeira visita continua exposta, e é isso que a lista de pré-carregamento resolve: os domínios enviados em hstspreload.org são incorporados ao Chrome, ao Firefox, ao Safari e ao Edge. Os requisitos incluem um certificado válido, um redirecionamento de HTTP para HTTPS no mesmo host, HTTPS em todos os subdomínios e um cabeçalho com max-age de pelo menos 31.536.000 segundos, includeSubDomains e preload. A remoção leva meses para chegar aos usuários, então teste primeiro com valores curtos de max-age. Domínios de primeiro nível inteiros, como .dev e .app, já estão pré-carregados.