TLDFYI

التحميل المسبق لـ HSTS

التحميل المسبق لـ HSTS (HTTP Strict Transport Security) هو عملية إضافة نطاق إلى القوائم المُضمَّنة في المتصفحات والتي تُلزم بالوصول إليها عبر HTTPS دائماً، حتى قبل أول زيارة. على خلاف رأس HSTS القياسي (الذي يُتعلَّم عند الاتصال الأول)، تُحمى النطاقات المُدرجة مسبقاً من أول طلب — بما في ذلك على تثبيتات المتصفح الجديدة كلياً. للتأهل للتحميل المسبق، يجب أن يقدم النطاق [[ssl-tls|شهادة TLS]] صالحة، وأن يُعيد توجيه جميع HTTP إلى HTTPS، وأن يضبط رأس HSTS بقيمة max-age لا تقل عن 31536000 ثانية، مع تضمين توجيهَي preload وincludeSubDomains. بعض [[tld|TLDs]] بأكملها كـ .dev و.app مُدرجة مسبقاً في HSTS على مستوى TLD.

مثال

After submitting stripe.com to the HSTS preload list, any browser — even one that has never visited Stripe — will refuse to connect over plain HTTP, preventing SSL stripping attacks.