HSTS 是否应该开启

HSTS（HTTP Strict Transport Security）会告诉浏览器：以后访问这个域名时直接使用 HTTPS，不再先发送 HTTP 请求。它能减少降级攻击和不必要的跳转，但配置错误时也会让浏览器持续拒绝访问。

适合开启的条件

• 所有需要访问的域名都已经有有效证书。
• HTTP 和 HTTPS 页面、静态资源、接口都能正常工作。
• 不再需要让用户通过 HTTP 访问旧站点或特殊端口。
• 团队已经准备好证书到期和自动续期监控。

开启前检查

1. 先在网站详情启用 HTTPS 并完成浏览器验收。
2. 确认没有混合内容和 HTTP 回调。
3. 先使用较短的 max-age 观察，再逐步延长。
4. includeSubDomains 和 preload 要谨慎，确认所有子域名都支持 HTTPS 后再考虑。

HSTS 不会修复错误的源站跳转，也不会替代证书续期。若证书失效，开启 HSTS 后用户无法绕过浏览器警告，因此生产站点必须有续期失败告警。