HTTPS站点开启HSTS实战：Apache/Nginx/IIS配置+preload提交流程+故障回滚的两条路
HSTS 强制 HTTPS 是修复降级攻击的核心安全机制，但配错会让站点彻底打不开 + 用户浏览器记 1 年解不开。本文从 RFC 6797 原理讲到 Apache/Nginx/IIS/Caddy 各自的正确配置、Nginx add_header 的覆盖陷阱、preload 提交的 6 项硬性要求、撤回 preload 长达 6-12 个月的代价、证书过期 + HSTS 锁死的真实故障案例与紧急回滚的两条路（max-age=0 / ch…
24 分钟阅读
https
HSTS
HSTS preload