Nginx 配置 HSTS 教程

何为 HSTS？

HTTP严格传输安全协议（英语：HTTP Strict Transport Security，简称：HSTS），是一套由互联网工程任务组发布的互联网安全策略机制。网站可以选择使用HSTS策略，来让浏览器强制使用HTTPS与网站进行通信，以减少会话劫持风险。其征求修正意见书文件编号是RFC 6797，发布于2012年11月。

在开启了HSTS后，所有的资源都会以HTTPS方法加载，根治了“混合内容”，大大提高了网站的安全性，而且，当网站被劫持时（证书无效等错误），浏览器会在缓存内拒绝传输信息，确保网站绝对安全，对于不支持HTTPS的网站，开启HSTS会使网站无法访问。

HSTS请求头参数

max-age （必须）指定HSTS请求头的缓存时间
include-subdomains 同时应用到子域名
preload 允许预加载（本文章会详细讲预加载）

配置HSTS

如果想要为一个网站加入HSTS，应该在服务器上进行请求头的配置，添加类似如下请求头：

Strict-Transport-Security “max-age=31536000; includeSubDomains; preload”

配置方法
打开Nginx配置（Phpstudy在“设置”，宝塔在Nginx-配置修改，原生请使用 nginx.conf 或者站点配置文件）
定位到HTTP块，加入
add_header Strict-Transport-Security $hsts_header;

定位到Server块上方，加入

1
2
3
map $scheme $hsts_header {
	https   "max-age=31536000; includeSubDomains; preload";
}

PS：上面给的 HSTS 标头参数可以自由更改
保存配置文件，重启 Nginx 即可

预加载

如果你的网站已经使用了HSTS，还想要提高速度并且变得更安全，那么预加载（Preload）对你来说非常有必要
预加载是一个网址列表，会硬编码到Chromium的源代码，其他的主流浏览器一般依据Chromium进行更新列表，目前大多数浏览器均支持本列表，包括Chrome、Firefox、Edge、IE11等浏览器，其他国产浏览器如360，列表随咕鸽而变化。在“Preload预加载列表中”的网址，只能通过HTTPS的方式访问，任何以HTTP的方式访问将会直接被浏览器跳转HTTPS，跳转失败则拒绝打开。

加入预加载的方法

打开这个网站：https://hstspreload.org
然后在网站中输入你的域名，回车


解决好图中的问题就可以了，其中黄色的问题解决不解决都行，但是红色的必须要解决，解决完全部的即可出现一个申请的按钮，点击即可申请啦，一般申请之后两三天就能通过，长的最多几周，申请通过的效果：