hsts 预加载如何在后端工作

Question

如果我的网站在预加载列表中注册，我知道 hsts（http 到 https）从一开始就可以工作。 另一方面，我也在我的 Web 服务器的 hsts 标头中声明预加载。

如果我第一次使用 http 访问我的网站会怎样？ 我的意思是网站会先访问预加载列表还是先访问网络服务器？

Answer 1

您需要将您的网站提交到浏览器预加载列表。然后它会发出预加载标头（以防止不良行为者在不需要时将站点提交到预加载列表），并将其包含在未来版本的内置列表中。

某些浏览器还会定期扫描或抓取网站，以寻找包含要包含的预加载标题的网站。虽然我认为这样做少，但最好明确提交您的网站。

网站在浏览器预加载列表中加入后，对http://版本的请求会自动转换为https://。这发生在您发送请求之前，因此在您获得 HSTS 标头响应之前。

这就是预加载的重点 - 在您发出单个请求之前保护您。

就我个人而言，我不喜欢预加载。将网站列表硬编码到浏览器中存在明显的扩展问题，但更重要的是，当你这样做时，你会冒一些风险，如果不等待浏览器供应商几个月或可能几年的时间来获取恢复的内容，你就无法改回来设置删除代码。我个人认为预加载对于大多数网站来说都是多余的。