HSTS-preload
Lijst met domeinen die alle grote browsers (Chrome, Firefox, Safari, Edge) vastleggen als ‘altijd HTTPS, nooit HTTP’.
Preloading haalt het trust-on-first-use-venster van HSTS weg: zelfs het allereerste bezoek loopt via HTTPS. Aanmelden gaat via hstspreload.org. Vereist zijn een HSTS-header met max-age van minimaal 31536000, includeSubDomains, de preload-directive en HTTPS op alle subdomeinen. Google, Facebook en GitHub staan er al op.
Het is een bijna onomkeerbare keuze: verwijdering duurt een tot twee jaar, omdat alle browserversies moeten meedraaien. Het risico is een vergeten subdomein dat nog HTTP nodig heeft en niet snel te redden is. Begin daarom een paar maanden met HSTS zonder preload, controleer alles en meld pas daarna aan.