STATUS IS UP网站就绪度
中文
网站所有者工作区
探索 SIU

就绪检查 · 加固通道 · 权重 7

HSTS 保留至少一年

首页发送 Strict-Transport-Security，其 max-age 至少为 31536000 秒（一年）。

已观察到
31%

在 144,624 个已测量网站中

前 1K 网站
48%

已测量 286 个

前 1M 区间
27%

已测量 79,142 个

未测量
41,432

被阻止、遇到验证挑战或不适用

为何重要

HSTS 告诉浏览器在之后每次访问您的主机时都使用 HTTPS，从而消除首次 HTTP 请求可能被拦截的时间窗口。

如何修复

在 HTTPS 响应中发送 Strict-Transport-Security。先设置较短的 max-age（例如 300 秒），确认每个子域名都能通过 HTTPS 正常工作，然后逐步增加至 31536000。只有在所有子域名都使用 HTTPS 时才添加 includeSubDomains。HSTS 预加载是可选项，而且难以撤销；hstspreload.org 本身也不建议默认使用它。

我们如何检查

首页发送 Strict-Transport-Security，其 max-age 至少为 31536000 秒（一年）。

已观察到：存在 HSTS，且 max-age 为一年或更长。

未观察到：缺少 HSTS，或其设置低于一年。

局限：仅读取首页响应；其他页面或地区可能发送不同的响应头。

针对不同技术栈的步骤

  • Cloudflare：在“SSL/TLS > 边缘证书 > HTTP 严格传输安全”下启用 HSTS，并逐步增加 max-age。
  • Amazon CloudFront：为每个分配关联包含 Strict-Transport-Security 的响应头策略。
  • Next.js：在 next.config.js 的 headers() 选项中为所有路由添加该响应头。
  • Fastly：按照 Fastly 的 HSTS 指南，在 VCL 或响应头规则中添加该响应头。
  • Azure Front Door/CDN：在 Front Door 规则集中添加响应头操作。
  • Vercel：在 vercel.json 的 headers 部分声明该响应头。

按受欢迎程度分档

Chrome UX Report 区间已观察到已测量
前 1 千名48%286
前 5 千名39%1,309
前 1 万名40%1,653
前 5 万名36%12,752
前 10 万名36%12,036
前 50 万名35%37,446
前 100 万名27%79,142

最可能这样做的类别

最不可能这样做的类别

按技术栈

按提供商

我们观察到此情况的热门网站

来源与指南

指南：面向网站所有者的 HTTPS 与 TLS 指南检查您自己的网站