所有資源的HSTS頭？或文件？

Question

是否必須返回HTTP嚴格傳輸安全性頭文件用於加載我的文檔的所有資源（樣式表，腳本，圖像）？還是僅僅將它們包含在文檔中就足夠了？

安全提示應該應用於每個域，所以只要發送文檔應該足以讓瀏覽器通過HTTPS獲取資源？或者我誤解了它應該如何工作？

任何人只能直接訪問我網站的資源並不是真正的受衆，我想專門迎合。

Answer 1

原來，它應該足以發送文件頭。

如果UA從已知HSTS主機通過安全通道接收HTTP響應，但響應缺少STS頭域，UA必須繼續把主機作爲已知HSTS主機，直到max-age的值因爲知道已知的HSTS主機已達到。

https://tools.ietf.org/html/rfc6797#section-8.6

希望能客戶正確實施的RFC。

更新：這是我使用的Apache配置。我取消了資源的設置，而不是專門爲文檔設置，以確保在Apache重定向和其他頁面中使用標題。

# Enable HSTS for all responses, but disable for common resources 
Header always set Strict-Transport-Security "max-age=324000; includeSubDomains" 
<FilesMatch "\.(css|gif|ico|jpeg|jpg|js|png|woff)$"> 
    Header unset Strict-Transport-Security 
</FilesMatch> 

從每個資源的響應標頭中刪除64個字節。