你的网站加入 HSTS preload 预加载列表了吗
内容提要
HSTS（HTTP严格传输安全）是一种强制浏览器使用HTTPS访问网站的安全机制，旨在减少会话劫持风险。启用HSTS后，需要在HTTPS响应头中添加Strict-Transport-Security头。将网站加入HSTS预加载列表可以加速访问并防止HTTP重定向劫持。确保所有子域名支持HTTPS，否则网站将无法访问。
延伸解读
启用 HSTS 的前置条件
文章明确指出，启用 HSTS 策略的前提是网站必须支持 HTTPS 访问，并且所有子域名也都必须支持 HTTPS。如果任何一个子域名不支持 HTTPS，那么就不适合启用 HSTS，尤其是加入预加载列表。这是因为一旦加入预加载列表，浏览器会强制对所有子域名使用 HTTPS，不支持 HTTPS 的子域名将无法访问。
HSTS 预加载如何加速访问
加入 HSTS 预加载列表后，浏览器会直接强制使用 HTTPS 访问网站，省去了 HTTP 重定向到 HTTPS 的步骤。这不仅加快了访问速度，还避免了在重定向过程中可能发生的会话劫持。文章解释，预加载列表内置于 Chromium 代码中，因此无论用户是否访问过该网站，浏览器都会直接使用 HTTPS。
HSTS 的潜在风险与退出成本
文章提到，HSTS 的唯一实用危害是基于对网络时间协议（NTP）的攻击，攻击者通过伪造 NTP 服务器时间使 HSTS 条目过期，从而允许不安全的 HTTP 连接。加入预加载列表可以有效防止这种攻击。但退出预加载列表可能因缓存原因需要一年或更久，因此加入前需谨慎考虑。
Q&A
HSTS是什么，它的主要功能是什么？
HSTS（HTTP严格传输安全）是一种安全机制，强制浏览器使用HTTPS访问网站，以减少会话劫持风险。
如何启用HSTS？
要启用HSTS，需要在HTTPS响应头中添加Strict-Transport-Security头，并设置max-age、includeSubDomains和preload等参数。
将网站加入HSTS预加载列表有什么好处？
加入HSTS预加载列表可以加速访问，避免HTTP重定向劫持，浏览器会直接强制使用HTTPS访问。
如果我的网站有子域名，如何确保它们支持HTTPS？
必须确保所有子域名都支持HTTPS协议访问，否则网站将无法通过HSTS预加载列表访问。
HSTS的唯一实用危害是什么？
HSTS的唯一实用危害是基于网络时间协议（NTP）的攻击，攻击者可能伪造NTP服务器的时间值来操纵系统时间。
如何查询一个域名是否在HSTS预加载列表中？
可以在Chrome浏览器的设置页面chrome://net-internals/#hsts中查询域名是否在HSTS预加载列表中。
