Синтаксис: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload; заголовок отправляют по HTTPS (полученный по HTTP браузеры игнорируют). Пока не истечёт срок max-age, браузер переписывает URL http:// на https:// ещё до отправки запроса, поэтому после первого посещения атаки SSL stripping перестают работать.
Первое посещение всё равно остаётся незащищённым; эту проблему решает список предзагрузки: домены, отправленные на hstspreload.org, встраиваются в Chrome, Firefox, Safari и Edge. Среди требований — действительный сертификат, перенаправление с HTTP на HTTPS на том же хосте, HTTPS на всех поддоменах и заголовок с max-age не менее 31 536 000 секунд, includeSubDomains и preload. Удаление из списка доходит до пользователей месяцами, поэтому сначала проверьте настройку с короткими значениями max-age. В список предзагрузки внесены и целые домены верхнего уровня, например .dev и .app.