Kontrola gotowości HSTS i preload: cztery adresy, które o tym rozstrzygają

HSTS mówi przeglądarce, że dla tego hosta ma odtąd używać https, a lista preload umieszcza tę instrukcję w przeglądarce jeszcze przed pierwszą wizytą. Jedno i drugie zależy od szczegółów, które łatwo zrobić prawie dobrze: nagłówek musi pojawić się na gołej domenie po https, nieść co najmniej rok, obejmować poddomeny, wymieniać preload — a pierwsze przekierowanie z http musi zostać na tym samym hoście. Ta kontrola pyta cztery adresy, które o tym rozstrzygają.

Z tego serwera: cztery zapytania HEAD, po jednym na adres. Przekierowania nie są śledzone, treść strony nie jest pobierana, żadne ciasteczka nie są wysyłane, nic nie jest zapisywane poza wpisem licznika: adresem IP, momentem zapytania i rozmiarem zapytania, przez siedem dni.

Sprawdź HSTS

Granice, które warto znać: sprawdzane są warunki, nie sama lista — na to, czy domena już figuruje na liście preload, odpowie tylko lista. Poddomeny również nie są wyliczane, więc includeSubDomains czyta się jako zapowiedź, a nie jako fakt zweryfikowany na każdym hoście.