HSTS
HTTP-заголовок, который велит браузеру: «этот сайт никогда нельзя открывать без шифрования».
После первого визита по HTTPS браузер запоминает это и дальше отказывается ходить по HTTP. Защищает от атак понижения (downgrade). Сайт можно внести в preload-список браузеров, и тогда безопасным будет даже первое посещение.