HSTS是否將所有資源升級到HTTPS，而不管域名是什麼

Question

我正在將HTTP Strict Transport Security標頭添加到網站。

它是否阻止通過不在同一域中的HTTP加載資源？

Answer 1

HSTS僅適用於與其一起發送的域，以及任何子域（如果還設置了includeSubDomains屬性）。

其他任何域都不受影響。

但有一點需要注意的是，如果您的主域（www.example.com）使用與裸域（example.com）相同的配置，這很常見，並且您在兩個域（可能沒有意識到它也在裸露的域中）並使用includeSubDomains標頭。如果是這種情況，那麼您可以輕鬆阻止訪問其他域名（如http://blog.example.com或http://internal.example.com），如果有人訪問裸露的域名，這些域名仍然位於http上。

順便說一句，如果你想升級所有http請求到https，你可以使用內容安全策略（CSP），它具有升級不安全請求選項。但是browser support of that is not yet universal。您也可以使用CSP來幫助您確定混合內容，如here所述。