HSTS

网站配置好 [HTTP 强制跳转 HTTPS](/memo/nginx-force-https.html) 就万事大吉了吗？其实我们还可以让安全性更上一层楼，就是启用 HSTS。这是一项安全协议，网站通过特定响应头告诉浏览器，在一定时间内可以自作主张，把 HTTP 跳转到 HTTPS。 这样不仅更加安全，而且还可以略微加速网页的加载和显示。 代码片断 nginx 的配置方法如下： server {

1. 用 Chrome 访问 HTTPS 版本的页面，打开 Chrome 调试工具，切换到 Network 面板，观察页面响应头是否包含类似以下信息： Strict-Transport-Security: max-age=31536000 1. 在地址栏输入完整的 HTTP 版本的地址（比如 `http://yuanbiji.net`），回车，观察是否返回 `307 Internal Redir