HSTS HTTP Strict Transport Security
HTTP-Header, der dem Browser sagt: "Diese Seite darf nie unverschlüsselt aufgerufen werden."
Nach dem ersten HTTPS-Besuch merkt sich der Browser das und verweigert HTTP danach. Schützt vor Downgrade-Angriffen. Lässt sich global "preloaden", sodass sogar der allererste Besuch abgesichert ist.