HSTS
Header HTTP che dice al browser: «questo sito non va mai raggiunto senza cifratura».
Dopo la prima visita in HTTPS il browser lo ricorda e rifiuta HTTP da quel momento in poi. Protegge dagli attacchi di downgrade. Può essere «precaricato» a livello globale, così anche la prima visita è sicura.