HSTS Header Builder

O HSTS instrui o navegador a só acessar aquele domínio por HTTPS, pelo tempo que o cabeçalho declarar. O ganho é fechar a janela do primeiro acesso: sem ele, quem digita o endereço sem o esquema faz uma requisição em texto claro antes do redirecionamento, e é nessa requisição que um ataque de rede se encaixa.

Escolha a duração e as duas opções e a página monta o cabeçalho. O valor comum é um ano, e a razão de ser tão longo é que o efeito só existe para quem já visitou — prazo curto significa que o navegador esquece e a janela reabre. A opção de incluir subdomínios estende a regra para tudo abaixo do domínio, e a de pré-carga sinaliza intenção de entrar na lista embutida nos navegadores.

O cuidado é proporcional ao prazo: o cabeçalho não tem como ser desfeito remotamente. Publicar com subdomínios incluídos derruba qualquer subdomínio que ainda sirva HTTP puro — sistema interno, ambiente antigo, um painel esquecido — e o navegador de quem já visitou vai recusar por um ano. A prática segura é subir com prazo curto, confirmar que tudo responde em HTTPS, e só então aumentar.