HSTS
L'header HSTS istruisce il browser a usare solo l'HTTPS per il dominio, per una durata definita. Chiude la finestra di intercettazione che esiste al primissimo accesso HTTP.
In pratica
Una riga di header, un guadagno chiaro: nessuna richiesta viaggia mai più in chiaro, nemmeno da un link http:// o da un inserimento diretto nella barra degli indirizzi. La versione precaricata (registrazione nelle liste di preload dei browser) elimina persino la prima visita vulnerabile. Precauzione: attivarlo solo una volta certi che l'HTTP non verrà mai più servito, sottodomini compresi se l'opzione li copre.