生产环境中，HSTS预加载失效并不一定表现为首页打不开：主域可能仍能通过HTTPS访问，但登录、接口、静态资源所在的子域突然全部跳转失败。更麻烦的是，浏览器已经缓存了强制HTTPS策略，运维人员即使回滚服务器配置，也无法立即恢复HTTP访问，最终形成“证书、跳转、缓存”互相叠加的锁死现场。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：digvps（全球云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
一、预加载失效的根因，不在“有没有加头”
HSTS的作用是让浏览器在访问前就把HTTP改成HTTPS。普通HSTS响应头只影响当前主机，并受max-age控制；进入预加载列表后，浏览器通常会在首次访问前直接拒绝HTTP，风险覆盖范围也更大。判断
子域覆盖参数是最容易遗漏的一项。带有includeSubDomains的主域，会把策略传给所有下级主机；例如api.example.com和cdn.example.com都会受影响。max-age只决定已缓存策略的持续时间，并不会自动把域名加入预加载列表。预加载提交还要求站点具备有效HTTPS证书、稳定的重定向链，并明确接受整棵子域树的长期约束。
因此，证书只覆盖example.com却遗漏www.example.com，或HTTP入口连续跳转到多个域名，都可能在预加载后暴露问题。用户看到的往往不是“预加载失效”，而是ERR_CERT_COMMON_NAME_INVALID、ERR_CONNECTION_REFUSED或无限重定向。排查时应从域名层级、证书名称、跳转目标三个方向同时核对，不能只验证浏览器地址栏最终显示的域名。
二、上线前按域名、证书和跳转链逐项检查
先建立域名清单，确认主域、www、常用业务子域、CDN域名和回调域名是否全部纳入策略。对准备启用includeSubDomains的主域，应逐台检查子域的HTTPS可用性；若某个子域尚未部署证书，先使用独立域名上线，或暂时不要把父域设置为覆盖全部子域。可借助ServLlama辅助整理域名与探测结果，但最终仍要回到实际浏览器和线上链路验证。
其次检查证书SAN完整性。证书的SAN必须覆盖实际访问的每个主机名，不能只依赖Common Name；证书链中的中间证书、服务器时间和自动续期也要确认。随后用浏览器开发者工具或命令行工具查看完整HTTPS重定向链，确认HTTP到HTTPS一次跳转完成、目标主机与证书匹配、没有循环、端口或路径丢失。链中任何一步指向未覆盖的域名，都可能让用户停在错误页面。
上线前还应使用干净浏览器配置、移动网络和不同操作系统复测，并查看响应中的Strict-Transport-Security、includeSubDomains与max-age。预加载列表与本地HSTS缓存是两回事：列表收录状态需要查询官方数据或浏览器调试信息，缓存状态则要检查当前设备的策略来源。
若已经发生锁死，不要删除证书或把HTTP改回原站。先保持所有受影响主机提供有效HTTPS，修复SAN和跳转链，再预留应急退出窗口：向预加载项目申请移除域名，并逐步降低线上HSTS缓存时长，让旧设备有机会恢复。新老浏览器缓存不会同步消失，紧急期间应避免父域继续携带includeSubDomains覆盖未修复子域，同时准备独立登录域名作为临时入口。
沿HTTPS重定向链核验证书SAN完整性
真正决定浏览器是否强制使用 HTTPS 的，不只是响应头中的 preload 标识，而是浏览器当前加载的预加载集合、客户端缓存中的 HSTS 状态，以及首次请求实际命中的访问链。排查时应区分“已提交”“已进入某个浏览器版本”“客户端已建立状态”三个阶段。线上返回 preload 只代表站点表达了预加载意愿，并不等于所有浏览器已经生效；官方列表仍显示存在，也可能只是客户端或 CDN 缓存尚未刷新。
沿 HTTPS重定向链 逐段验证时，HTTP 请求应直接落到同主机的 HTTPS 地址，避免先跳 CDN、再跳主域、随后又跳回 CDN。多段跳转不仅拖慢访问，还可能因代理识别错误的 X-Forwarded-Proto 形成循环。检查证书时必须核对 证书SAN完整性，不能只看证书主题中的 Common Name。主域、裸域、www 和业务子域都应出现在 SAN 中，通配符只能覆盖一级名称。任一入口因名称不匹配、证书过期或 SNI 路由错误而握手失败，浏览器可能在预加载校验阶段直接阻断，表现为证书错误，而不是普通重定向故障。
控制子域覆盖参数与应急退出窗口
子域覆盖参数 includeSubDomains 是一项全量承诺，并非“顺带支持 HTTPS”。主域启用后，当前及未来创建的子域都会继承 HSTS，因此上线前必须盘点解析记录、停用域名和内部服务。常见问题是证书仅覆盖主域，遗漏裸域或新上线子域；另一个问题是 CDN 边缘返回了安全响应头，回源却没有，或者不同节点缓存了不同策略。上线前可先用较短的 max-age 观察完整业务周期，再提升至至少一年并提交预加载。真正需要应急退出时，仅降低 max-age 通常不够，还必须从预加载列表移除，并等待浏览器版本更新及客户端缓存失效，因此要预留并记录完整窗口。
可执行检查清单：一，确认HSTS预加载状态及生效范围；二，分别请求 HTTP 与 HTTPS，检查最终状态码、Location 跳转次数和每一跳的 Host；三，在边缘与源站读取 Strict-Transport-Security，确认 max-age、includeSubDomains、preload 一致且所有节点无差异；四，使用 openssl s_client 核对主域、裸域、www 与全部现存子域的 SAN、SNI、有效期及吊销状态；五，验证重定向不成环、代理协议头正确，并排查 HTTP 引用与混合内容；六，记录预加载提交时间、监控指标、max-age 调整方式、列表移除申请人和回滚验证域名，全部通过后再扩大覆盖。
喜欢 
顶
难过
囧
围观
无聊
