语法：Strict-Transport-Security: max-age=63072000; includeSubDomains; preload，通过 HTTPS 发送（通过 HTTP 收到时浏览器会忽略它）。在 max-age 到期之前，浏览器会在任何请求发出之前就把 http:// URL 改写为 https://，从而在首次访问之后挫败 SSL 剥离攻击。
首次访问仍然暴露在风险之下，预加载列表解决了这个问题：提交到 hstspreload.org 的域名会被编译进 Chrome、Firefox、Safari 和 Edge。加入列表的要求包括：有效的证书、同一主机上从 HTTP 到 HTTPS 的重定向、所有子域名都启用 HTTPS，以及一个 max-age 不少于 31,536,000 秒并带有 includeSubDomains 和 preload 的头部。从列表中移除要过几个月才能覆盖到用户，因此应先用较短的 max-age 值测试。.dev 和 .app 等整个顶级域名都已预加载。