必须在443端口HTTPS server块中配置add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always，搭配80端口301跳转、全站HTTPS稳定运行及子域证书有效，灰度验证后再上线。
在 Nginx 中配置 HSTS 不是加一行 add_header 就能生效，关键在于位置对、参数稳、范围准、上线慎。它真正起作用的前提是：你的网站已稳定运行 HTTPS，所有涉及的域名（含子域）都有有效证书，且 80 端口已做好 301 跳转。
必须写在 443 HTTPS 的 server 块里
HSTS 头只通过 HTTPS 响应生效，HTTP（80 端口）响应中设置会被浏览器直接忽略。更严重的是，如果错放在 http 或顶层 location 块里，可能被覆盖或误用于非 HTTPS 上下文。
- 只在监听
443 ssl的server块内添加，例如：server { listen 443 ssl http2; ... add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; } - 不要写在 80 端口的 server 块里，也不要在未启用 SSL 的 location 中尝试“复用”
- 确保该 server 块中已正确配置
ssl_certificate和ssl_certificate_key
always 参数不能省
缺省情况下，Nginx 只对 2xx 和 3xx 响应添加 header。但像 404、500、304 这类状态码若不带 HSTS 头，浏览器就可能中断策略，导致安全链断裂。
- 务必加上
always，保证所有响应（无论状态码）都携带 HSTS 头 - 错误写法：
add_header Strict-Transport-Security "max-age=31536000";（缺 always，不可靠） - 正确写法：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
max-age 和 includeSubDomains 要量力而行
max-age 决定浏览器强制 HTTPS 的时长；includeSubDomains 把策略扩展到所有一级子域（如 www、api、blog），但这是有代价的。
- 首次上线建议从
max-age=300（5 分钟）开始测试，确认无异常后再逐步调高至 31536000（1 年） - 启用
includeSubDomains前，必须确保每个子域都能通过 HTTPS 正常访问、证书有效；否则用户访问失败后，主站也可能被浏览器标记为“不安全” - 注意：
includeSubDomains不递归生效，foo.bar.example.com不受保护
preload 是承诺，不是开关
加上 preload 是为了提交到浏览器预加载列表，实现“第一次访问即强制 HTTPS”。但这不是可逆操作，一旦收录，撤回需数月甚至半年以上。
- 必须同时满足：全站 HTTPS、
max-age ≥ 31536000、含includeSubDomains、所有子域响应头中也有完整 HSTS 策略 - 提交前请先访问 hstspreload.org 自检，确认全部通过
- 测试环境、临时域名、未完成 HTTPS 改造的子域，一律禁止加
preload
配置完成后，用 curl -I https://yourdomain.com 检查响应头是否出现 Strict-Transport-Security，再用浏览器开发者工具 Network 面板验证值是否匹配。别忘了配套做好 80 端口的 301 跳转和 CDN 的 HSTS 透传设置。
