HSTS preload
主要ブラウザ（Chrome、Firefox、Safari、Edge）が「常にHTTPS、HTTPは決して許さない」とハードコードしているドメインのリスト。初回訪問からHTTPSになるため、HSTSの初回信頼の隙を塞ぐ。
申請先はhstspreload.org。要件は、max-ageが31536000以上のHSTSヘッダー、includeSubDomains、preloadディレクティブ、そして全サブドメインがHTTPSで動いていることだ。これは恒久的な約束で、取り下げても全ブラウザの更新に行き渡るまで1〜2年かかる。google.com、facebook.com、github.comなどの大手サービスは登録済みである。
リスクは、HTTPを必要とする忘れられたサブドメインがあっても、すぐには直せないことだ。まずpreloadなしでHSTSを数か月運用して検証し、それから申請するのが定石である。