Gerador de Header HSTS

HSTS tem três parâmetros e quase todo mundo copia do Stack Overflow sem saber o que cada um faz. Aqui você escolhe o max-age em segundos, decide se inclui os subdomínios e se marca preload, e recebe a linha pronta do Strict-Transport-Security. O padrão já vem com 31536000 segundos, que dá um ano, e com includeSubDomains ligado.

O detalhe que mais pega gente: o navegador só obedece HSTS quando o header chega por uma conexão HTTPS válida. Mandar o mesmo header na resposta em HTTP não faz nada. O contador do max-age também reinicia a cada visita, ou seja, um usuário frequente fica preso ao HTTPS quase para sempre. Nos campos sim/não, a ferramenta só aceita a palavra sim para ligar; qualquer outra coisa vale como não. Deixe o max-age vazio e sai max-age=0, que é a forma oficial de desligar o HSTS.

Pense duas vezes antes de marcar preload. Ele coloca seu domínio numa lista compilada dentro dos navegadores, a remoção demora meses e só alcança quem atualiza o browser. Antes disso, garanta que todo subdomínio funciona em HTTPS, inclusive intranet, staging e aquele painel antigo. A ferramenta monta a string mas não valida os pré-requisitos do preload, então confira em hstspreload.org. No nginx e no Apache você configura nome e valor separados: copie só a parte depois dos dois-pontos.