Appendix A. Design Decision Notes (設計決定事項)

本付録は、さまざまな設計決定を記録する。

CookieはHSTSポリシー表現には適していない。なぜなら、UAに保存される際に変更可能である可能性があるため; したがって、HTTPヘッダーフィールドが採用された。
"混合セキュリティコンテキストロード" ("混合コンテンツロード"とも呼ばれる) の処理方法を指定しようとしないことを選択した。これは、UA実装の考慮事項と分類の難しさによるものである。
HSTSホストは新しいHSTSヘッダーフィールドパラメータ値を介してUAのHSTSポリシーの概念を更新できる。サーバーから受信した"最新"情報にUAが従うことを選択した。なぜなら、Webサイトが誤ったHSTSポリシー (例えば、数年のmax-age値や誤ったincludeSubDomainsディレクティブ) を発行する可能性があるためである。HSTSホストがプロトコルを介してこのようなエラーを修正できない場合、ユーザーへの何らかの形式のアナウンスとユーザーの手動介入が必要となり、Webアプリケーションプロバイダーとそのユーザーにとって非自明な問題となる可能性がある。
HSTSホストはドメイン名のみで識別される -- すべての形式の明示的なIPアドレス識別を除外する。これは単純化のため、また直接IPアドレス識別をPKIベースのセキュリティと組み合わせて使用する際のさまざまな問題を認識してのことである。
max-ageアプローチを選択し、HSTSホストがキャッシュされたHSTSポリシーの生存時間値として単純な整数秒数を提供できるようにした。将来の有効期限を述べる方法ではなく、これはさまざまな理由による。理由には次のものが含まれる: クロック同期が不要、日時値構文を定義する必要がない (仕様の単純性)、および実装の単純性。
ポートマッピングを採用するかどうかを決定する際、明示的なポートを持つURLの逆参照を拒否するだけのオプションが検討された。しかし、逆参照されるURIが正しくない可能性 (そして実際にそのポートに有効なHTTPSサーバーがある) の価値は、HTTPサーバーへの無駄である可能性のあるHTTPSフェッチの小さなコストに値すると考えられた。