5. HSTS Mechanism Overview (HSTS 机制概述)

HSTS 机制由 server 发送 policy 和 UA 缓存并执行 policy 两部分组成. HSTS Host 通过 secure transport 返回 Strict-Transport-Security HTTP response header field, 声明 UA 在一段时间内必须通过 secure transport 访问该 host.

UA 接收有效 policy 后, 将该 host 记录为 Known HSTS Host. 后续如果用户或页面尝试以 http scheme 访问该 host, UA 必须在发起网络请求前将其转换为 https scheme. 对 Known HSTS Host 建立 secure transport 时, 任何 certificate, TLS 或 transport security warning 都不能让用户 click through.

HSTS policy 的有效期由 max-age directive 指定. Host 也可以使用 includeSubDomains directive 要求 UA 将 policy 应用于其 domain name subtree. 若要撤销 policy, host 可在 secure response 中发送 max-age=0.