你的网站加入 HSTS preload 预加载列表了吗
💡
原文中文，约2000字，阅读约需5分钟。
📝
内容提要
HSTS（HTTP严格传输安全）是一种强制浏览器使用HTTPS访问网站的安全机制，旨在减少会话劫持风险。启用HSTS后，需要在HTTPS响应头中添加Strict-Transport-Security头。将网站加入HSTS预加载列表可以加速访问并防止HTTP重定向劫持。确保所有子域名支持HTTPS，否则网站将无法访问。
🎯
关键要点
- HSTS（HTTP严格传输安全）是一种强制浏览器使用HTTPS访问网站的安全机制，旨在减少会话劫持风险。
- 启用HSTS后，需要在HTTPS响应头中添加Strict-Transport-Security头，包含max-age、includeSubDomains和preload等参数。
- 将网站加入HSTS预加载列表可以加速访问，避免HTTP重定向劫持，浏览器会直接强制使用HTTPS访问。
- 确保所有子域名支持HTTPS，否则网站将无法访问，加入HSTS预加载列表后，浏览器将强制HTTPS访问所有子域名。
- HSTS的唯一实用危害是基于网络时间协议（NTP）的攻击，但加入预加载列表可以有效防止这种情况。
❓
延伸问答
HSTS是什么，它的主要功能是什么？
HSTS（HTTP严格传输安全）是一种安全机制，强制浏览器使用HTTPS访问网站，以减少会话劫持风险。
如何启用HSTS？
要启用HSTS，需要在HTTPS响应头中添加Strict-Transport-Security头，并设置max-age、includeSubDomains和preload等参数。
将网站加入HSTS预加载列表有什么好处？
加入HSTS预加载列表可以加速访问，避免HTTP重定向劫持，浏览器会直接强制使用HTTPS访问。
如果我的网站有子域名，如何确保它们支持HTTPS？
必须确保所有子域名都支持HTTPS协议访问，否则网站将无法通过HSTS预加载列表访问。
HSTS的唯一实用危害是什么？
HSTS的唯一实用危害是基于网络时间协议（NTP）的攻击，攻击者可能伪造NTP服务器的时间值来操纵系统时间。
如何查询一个域名是否在HSTS预加载列表中？
可以在Chrome浏览器的设置页面chrome://net-internals/#hsts中查询域名是否在HSTS预加载列表中。
➡️
