Что такое HSTS?

HSTS (HTTP Strict Transport Security) — заголовок, который говорит браузеру: всегда используй HTTPS для этого домена. Strict-Transport-Security: max-age=31536000; includeSubDomains. После первого визита браузер автоматически переписывает http:// на https:// без запроса к серверу. Защищает от downgrade атак и SSL stripping. includeSubDomains — распространяется на поддомены. preload — можно добавить домен в список, встроенный в браузеры. В Go: middleware, добавляющий заголовок к каждому ответу. В nginx: add_header Strict-Transport-Security "max-age=31536000".