站点接入 CDN 后，部分用户从 HTTP 跳转 HTTPS 出现空白，证书警告页也无法进入；运营却准备直接提交 HSTS 预加载，只测试首页。主机一旦被缓存策略或预加载列表覆盖，浏览器会在首次连接前把 HTTP 改写为 HTTPS；证书链、代理或遗留子域任一环节失效，故障就可能被放大。启用 includeSubDomains 后，风险会扩散到全部子域，不能靠以后补配置化解。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：sixtynet（全球云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
{PROMO}
HSTS真正改写的是首次请求
HSTS 通过 HSTS响应头下发策略，浏览器只信任经 HTTPS 收到的头；缓存生效后，同一主机的 HTTP 请求会直接升级为 HTTPS。max-age 决定存续时间，includeSubDomains 决定是否覆盖子域；preload 令牌只表达意向，进入列表仍需平台审核。预加载通常要求主域至少返回 31536000 秒策略、启用 includeSubDomains，并让 HTTP 稳定跳转 HTTPS。
它的边界也明确：HSTS 不是证书替代品，不会修复混合内容、过期证书或错误重定向，主要防止首访降级与网络劫持。删除响应头不能立即清除用户缓存，预加载退出也可能传播数月，因此回退能力必须在提交前按最坏情况验证。
用域名清单决定是否预加载
先建立 apex、www、API、静态资源、测试环境和历史子域清单，核对 DNS、证书 SAN、完整证书链、TLS 协商及 HTTP→HTTPS 跳转。若站点只服务主域且不依赖子域，可暂不加 includeSubDomains；只有全部现存及计划启用的子域都提供可信 HTTPS，才扩大范围。通配符证书能减少签发工作，却不能证明解析和代理链路正常。
灰度时先在隔离域使用 300 秒或 86400 秒的 max-age，以全新浏览器、移动网络和真实证书链测试；确认无循环跳转、混合内容后，再逐步延长有效期。提交前演练证书过期、DNS 切换、CDN 回源失败和子域下线，可用 ServLlama 汇总 HTTPS 可用性与证书到期状态，并指定责任人。回退应先修复 HTTPS 服务；降低 max-age 要等后续成功访问才更新，移除 preload 不会瞬间覆盖缓存。主域若仍有 HTTP-only 服务，就不应提交预加载。
从响应头到浏览器策略：浏览器HTTPS强制如何生效
HSTS 的核心不是把 HTTP 跳转做得更漂亮，而是让浏览器记住“这个主机以后必须走 HTTPS”。服务器在 HTTPS 响应中返回HSTS响应头，其中 max-age 决定策略的缓存时长；includeSubDomains 则把约束扩展到当前域名下的所有子域。浏览器收到并接受该策略后，即执行浏览器HTTPS强制：即使用户输入 http://，也应先改成 HTTPS 请求，而不是访问明文页面后再跳转。
需要注意，HSTS 头只有在 HTTPS 响应中才可信。首次访问若先落到 HTTP，攻击者仍可能篡改跳转；服务器即使返回 301，客户端也已经暴露了明文请求。这个首访降级风险不能只靠增加跳转规则解决。正确做法是同时保留 HTTP 到 HTTPS 的入口跳转、配置有效证书，并在最终 HTTPS 页面返回 HSTS。预加载能让已内置列表的浏览器在首次连接前获知策略，但它不是所有浏览器和私有客户端都能实时同步的安全边界。
预加载提交前，先排除连带风险
进行预加载提交前，应先确认主域名和每个子域都能稳定提供 HTTPS。启用 includeSubDomains 后，遗留的 admin、测试环境或旧业务子域也会被强制升级，任何仅支持 HTTP 的服务都会直接失效。CDN、反向代理和负载均衡还可能在改写或缓存响应时删除 HSTS 头。证书续期若依赖 HTTP-01 验证，也可能因强制跳转形成死循环，应改用 DNS-01 或提前配置验证端点。预加载后的策略撤回需要提交移除申请并等待缓存过期，不能把它当成可随时撤销的配置。
可执行检查清单：①使用 curl -I 分别验证 HTTP 跳转、HTTPS 状态码及响应头；②确认公网证书链完整、所有计划纳入的子域均支持 HTTPS；③在最终 HTTPS 响应加入 Strict-Transport-Security: max-age=31536000; includeSubDomains; preload，并检查 CDN 没有覆盖或剥离它；④用真实浏览器访问 HTTP、子域及旧链接，确认没有混合内容、证书或跳转循环；⑤在 hstspreload.org 完成域名与证书验证后提交，持续监控证书到期、证书监控、域名解析和新增子域；⑥提前准备回滚方案，避免长期预加载掩盖配置故障。
最终应把 HSTS 视为 HTTPS 体系的一层，而不是 HTTPS 的替代品：先确保证书、跳转、全量子域和代理链路可靠，再逐步延长 max-age 并决定是否预加载。这样才能真正降低首访降级风险，同时避免因 includeSubDomains 或错误策略把局部故障扩大为整站不可用。
喜欢 
顶
难过
囧
围观
无聊
