HSTS preload
Elenco di domini che tutti i principali browser (Chrome, Firefox, Safari, Edge) incorporano come «sempre HTTPS, mai HTTP». Elimina la finestra di trust-on-first-use di HSTS: anche la prima visita passa da HTTPS.
Iscrizione: hstspreload.org. Requisiti: header HSTS con max-age ≥ 31536000, includeSubDomains, direttiva preload e HTTPS su tutti i sottodomini. È un impegno permanente: la rimozione richiede da uno a due anni, il tempo di attraversare tutti gli aggiornamenti dei browser. Grandi servizi come google.com, facebook.com e github.com sono precaricati. Il rischio: un sottodominio dimenticato che richiede HTTP non si può sistemare in fretta. Conviene attivare HSTS senza preload per qualche mese, verificare e solo dopo fare la richiesta.