RFC 6797 описывает Strict-Transport-Security, срок max-age и необязательную директиву includeSubDomains. Политику учитывает поддерживающий ее клиент. Это не то же самое, что ответ HTTP-редиректа от сервера.

Max-age не срок сертификата

Max-age задает срок политики в секундах. Учебное значение 3600 означает один час политики, не продление сертификата на час. Здесь оно приведено для чтения параметра, а не как рекомендуемый заголовок для вашего сайта.

УсловиеЧто проверить до решения
HTTPS основного имениСертификат, цепочку и продление
includeSubDomainsВсе затрагиваемые поддомены и их ответственных
План переносаHTTPS на прежней и новой площадке
План возвратаУчет уже сохраненной политики клиентов

Не добавляйте долгий срок только ради балла в отчете проверки. Выберите управляемый порядок приемки и ответственности за сертификаты. Устройство браузерной политики должно соответствовать тому, что площадка действительно может поддерживать.

IncludeSubDomains расширяет охват

В RFC директива распространяет политику на поддомены. Поэтому отдельный старый сервис без исправного HTTPS может пострадать от решения, принятого для основного сайта. Сначала составьте перечень сервисов, а не ограничивайтесь теми, которые видны в главном меню.

Учебная ситуация: магазин готов к HTTPS, но служебный поддомен обслуживает другое приложение с отдельным администратором. Решение об общем охвате требует проверки второй стороны. Это не обнаруженная проблема вашего сайта и не совет отключить защиту.

HSTS не способ обойти ошибку доверия

RFC требует завершать соединение с известным HSTS-хостом при ошибках защищенного транспорта. Поэтому политика не поможет принять неподходящий сертификат. Исправляют имя, доверие, цепочку и срок, а не уговаривают клиента пройти предупреждение.

Удаление заголовка на сервере не гарантирует немедленный сброс уже сохраненных политик у всех клиентов. В стандарте есть max-age=0, но получение и обработка такой политики также требуют правильного защищенного соединения. Это объяснение границ, не команда выключить HSTS; preload-процессы здесь не настроены и не описаны как мгновенные.

Для подготовки среды разберите TLS и имена SAN, а сертификатную услугу - в SSL. Источник прочитан 7 октября 2026 года. Заголовки, браузерные политики и серверная защита не менялись. Перед включением нужна отдельная согласованная приемка; остальные термины находятся в словаре.