HSTS sagt einem Browser, dass er für diesen Host künftig https verwenden soll, und die Preload-Liste legt diese Anweisung schon vor dem ersten Besuch in den Browser. Beides hängt an Einzelheiten, die sich leicht fast richtig machen lassen: Der Kopf muss auf der nackten Domain über https erscheinen, mindestens ein Jahr tragen, Unterebenen einschließen, preload nennen — und die erste Weiterleitung von http muss auf demselben Host bleiben. Diese Prüfung fragt die vier Adressen ab, an denen sich das entscheidet.
Von diesem Server: vier HEAD-Anfragen, je eine pro Adresse. Weiterleitungen werden nicht verfolgt, kein Seiteninhalt wird geladen, es werden keine Cookies gesendet und nichts gespeichert außer dem Zählerstand.
Grenzen, die zu kennen sich lohnt: Geprüft werden die Bedingungen, nicht die Liste selbst — ob eine Domain bereits in der Preload-Liste steht, beantwortet nur die Liste. Unterebenen werden ebenfalls nicht aufgezählt; includeSubDomains wird also als Zusage gelesen und nicht gegen jeden Host nachgeprüft.