max-age

HSTS preload 的 max-age 要求到底是什么？ HSTS（HTTP Strict Transport Security）preload 是浏览器内置的一个机制，让支持 HTTPS 的网站在用户第一次访问时就能强制走 HTTPS，而不需要先经历一次 HTTP 到 HTTPS 的跳转。 在提交到 hstspreload.org 时，官方对 Strict-Transport-Security 响应头有一个硬性要求： max-age 必须 ≥ 31536000（1年）...

先说结论：浏览器什么时候开始"记住"HSTS？ 很多教程只告诉你"配置HSTS"，但没说清楚浏览器到底什么时候开始强制执行HTTPS。这里直接给结论： 浏览器在第一次收到Strict-Transport-Security响应头之后，就会立即将域名加入HSTS列表，不需要等待max-age秒。 max-age的含义是：记住这个策略的有效期有多长，而不是"多少秒之后才开始生效"。 举个例子：你配置max-age=31536000（一年），用户第一次访问你的HTTPS网站，响应...

什么是HSTS max-age？ HSTS（HTTP Strict Transport Security）通过Strict-Transport-Security响应头告诉浏览器：在未来一段时间内，这个域名只允许通过HTTPS访问。 其中max-age参数就是那个"一段时间"，单位是秒。比如： [代码示例已省略，请参考正文] 意思是：接下来31536000秒（1年）内，浏览器都必须用HTTPS访问这个域名。 max-age设置为0到底会发生什么？ 把max-age设置为0，本...

什么是HSTS max-ageHSTS max-age是浏览器缓存HTTPS强制策略的时间，单位为秒。max-age设置为0会怎样设置为0后浏览器会立即清除HSTS缓存，不再强制跳转HTTPS。注意事项撤销HSTS前应先降低max-age值，等待用户端缓存过期后再设置为0。...

引言：为什么不能直接上31536000？ HSTS（HTTP Strict Transport Security）的 max-age 参数决定了浏览器记住"只走HTTPS"指令的时间长度。很多教程一上来就让你设 max-age=31536000（一年），但这其实是个坑。 如果你配错了、或者证书部署有问题，用户一年内都无法访问你的HTTP版本——哪怕你后来修好了。所以正确的做法是两个阶段：先用小值测试，确认无误后再切换到正式值。 HSTS max-age 基础回顾 HSTS响...

配置 Nginx 的 HSTS 安全响应头时，max-age 参数是最核心的设置。它的值直接决定了浏览器记住"这个域名必须用 HTTPS"的时间长度。设得太短，防护效果有限；设得太长，一旦配置出错恢复成本高。新手经常卡在不知道该选哪个值，本文从官方推荐出发，给出分阶段的实操建议。 max-age 的基本概念 Strict-Transport-Security 响应头的标准格式如下： Strict-Transport-Security: max-age=过期秒数 max-ag...