HTTP Strict-Transport-Security（一般称之为HSTS）回应标题文字用于通告电脑浏览器应当只通过 HTTPS 浏览该网站，而且之后应用 HTTP 浏览该站点全部试着都应该全自动跳转到 HTTPS。
备注名称： 这个比从你服务器上简单的配备 HTTP 到 HTTPS（301）跳转要安全性，由于原始的 HTTP 联接依然易遭受重放攻击。
词法
Strict-Transport-Security: max-age=<expire-time>
Strict-Transport-Security: max-age=<expire-time>; includeSubDomains
Strict-Transport-Security: max-age=<expire-time>; includeSubDomains; preload
命令
-
max-age=<expire-time>电脑浏览器应当记得的，必须使用 HTTPS 浏览站点较大时长量（以秒为基准）。
-
includeSubDomains可选择如果这些可供选择的主要参数被特定，那就说明此标准同样适用于此网站中的所有二级域名。
-
preload可选择 非标查询预加载
HSTS得到详细信息。当使用preload，max-age命令务必起码是31536000（一年），而且务必存有includeSubDomains命令。这个不是标准化的一部分。
叙述
假如一个网站接纳 HTTP 请求，随后跳转到 HTTPS，客户很有可能在进行跳转前，根据并没有数据加密的方式和网络服务器通讯，例如，客户键入 http://foo.com 或是仅仅是键入 foo.com。那样为重放攻击造就了机遇。可以借助跳转将用户引流至故意网站，而非初始站安全性版本号。
网址根据 HTTP Strict Transport Security 标题文字通告电脑浏览器，此网站禁用 HTTP 方法载入，而且电脑浏览器应当全自动将所有尝试用 HTTP 请求全自动替换为 HTTPS 要求。
备注名称： Strict-Transport-Security 标题文字在经过 HTTP 浏览的时候会被电脑浏览器忽视。只会在自己的网站根据 HTTPS 浏览而且没有证书错误时，电脑浏览器才觉得自己的网站适用 HTTPS，随后遵循 Strict-Transport-Security 标题文字。电脑浏览器这么做是由于网络攻击能够阻拦到站点 HTTP 联接，随后引入或是删掉标题文字。
实例情景
你登陆到一个完全免费 Wi-Fi 网络热点，然后就浏览网页，浏览你个人网上银行，查询你开支，而且付款一些订单信息。很可惜，你连接的 Wi-Fi 实际是网络黑客的笔记本热点，她们阻拦你最原始的 HTTP 要求，随后跳转到一个和你银行官方网站一模一样的诈骗网站。如今，你隐私数据曝露给网络黑客了。
Strict Transport Security 解决了问题；如果你根据 HTTPS 要求浏览银行官方网站，而且银行官方网站配备好 Strict Transport Security，你的浏览器了解全自动应用 HTTPS 要求，这可以防止网络黑客的重放攻击的伎俩。
电脑浏览器怎样处理
自己的网站第一次根据 HTTPS 要求，网络服务器回应 Strict-Transport-Security 标题文字，浏览器记录下这些数据，随后后边试着浏览此网站请求都是会全自动把 HTTP 替换为 HTTPS。
当 Strict-Transport-Security 标题文字设定的超时时间到，后边根据 HTTP 的浏览恢复正常标准模式，再也不会全自动跳转到 HTTPS。
每一次电脑浏览器接受到 Strict-Transport-Security 标题文字，他们都会升级此网站的超时时间，因此网址能够更新这些数据，避免到期产生。若是有禁止使用 Strict-Transport-Security 的需要，将 max-age 设为 0（根据 https 联接）会立即使 Strict-Transport-Security 标题文字无效，从而能够根据 http 浏览。
预加载 HSTS
谷歌搜索维护保养着一个 HSTS 预加载服务项目。依照如下所示标示取得成功递交你网站域名后，电脑浏览器可能绝不使用非安全方法联接到自己的网站域名。尽管这项服务是通过谷歌搜索所提供的，但主流浏览器都会用到这一预加载目录。可是，这个不是 HSTS 标准化的一部分，也不应该被当成正规的具体内容。
- Chrome 的 HSTS 预加载目录：www.chromium.org/hsts
- Firefox 的 HSTS 预加载目录：nsSTSPreloadList.inc
实例
现在与未来中的所有二级域名就会自动应用 HTTPS，有效期限（max-age）为一年。与此同时阻拦只能依靠 HTTP 网页访问或是子域名内容。
Strict-Transport-Security: max-age=31536000; includeSubDomains
Copy to Clipboard
尽管将域有效期（max-age）设为 1 年是没问题的，但 hstspreload.org 强烈推荐把它设为 2 年。
在下列实例中，有效期限（max-age）被设为 2 年，还带有 preload 后缀名，该后缀名是网站被百度收录到全部热门的 web 电脑浏览器（如 Chromium、Edge 及其 Firefox）的 HSTS 预加载目录所必需的。
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload