HSTS 预加载

HSTS（HTTP Strict Transport Security）预加载是将域名提交到浏览器厂商硬编码列表的过程，这些列表中的站点必须始终通过HTTPS访问，即使是首次访问之前也不例外。与标准HSTS头（在第一次连接时学习）不同，预加载的域名从第一个请求就受到保护——包括全新的浏览器安装环境。要获得预加载资格，域名必须提供有效的[[ssl-tls|TLS证书]]、将所有HTTP重定向到HTTPS、设置max-age至少31536000秒的HSTS头，并包含preload和includeSubDomains指令。某些整个[[tld|TLD]]（如.dev和.app）在TLD级别已实现HSTS预加载。