HSTS mówi przeglądarce, że dla tego hosta ma odtąd używać https, a lista preload umieszcza tę instrukcję w przeglądarce jeszcze przed pierwszą wizytą. Jedno i drugie zależy od szczegółów, które łatwo zrobić prawie dobrze: nagłówek musi pojawić się na gołej domenie po https, nieść co najmniej rok, obejmować poddomeny, wymieniać preload — a pierwsze przekierowanie z http musi zostać na tym samym hoście. Ta kontrola pyta cztery adresy, które o tym rozstrzygają.
Z tego serwera: cztery zapytania HEAD, po jednym na adres. Przekierowania nie są śledzone, treść strony nie jest pobierana, żadne ciasteczka nie są wysyłane, nic nie jest zapisywane poza stanem licznika.
Granice, które warto znać: sprawdzane są warunki, nie sama lista — na to, czy domena już figuruje na liście preload, odpowie tylko lista. Poddomeny również nie są wyliczane, więc includeSubDomains czyta się jako zapowiedź, a nie jako fakt zweryfikowany na każdym hoście.