HSTSHTTP Strict Transport Security

HSTS は、サーバーがレスポンスヘッダーに「Strict-Transport-Security: max-age=31536000; includeSubDomains; preload」を返すことで、ブラウザに以後そのドメインへの接続をHTTPSに強制させる仕組みです。max-age は秒単位の有効期間で、推奨は1年 (31536000) 以上です。includeSubDomains を付けるとサブドメインも強制対象、preload を付けるとhstspreload.org に登録申請でき、Chrome等のブラウザに組み込まれて初回アクセスからHTTPSが強制されます。プリロード登録は事実上不可逆 (削除に数ヶ月かかる) なので、サブドメイン全体をHTTPS対応してから登録する必要があります。HSTSがあれば中間者によるHTTPダウングレード攻撃を防げます。