HSTS и preload: принудительный HTTPS и попадание в списки браузеров

HSTS сообщает браузеру всегда использовать HTTPS для домена — защита от downgrade и перехвата cookie при первом визите (до preload).

Preload в hstspreload.org распространяет политику на все установки Chrome — откат занимает месяцы, подавайте только стабильные зоны.

- [Strict-Transport-Security — MDN](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security) — Директивы max-age и includeSubDomains.

- [hstspreload.org](https://hstspreload.org/) — Требования к preload.

---

## Чеклист

Сначала HTTPS на всех поддоменах и редиректы с HTTP, затем длинный max-age, потом preload.

Тестовые staging-домены не включайте в includeSubDomains без отдельного сертификата.