HSTS preload
Список доменов, которые все крупные браузеры (Chrome, Firefox, Safari, Edge) жёстко считают «всегда HTTPS — HTTP никогда». Устраняет окно доверия при первом обращении у HSTS: даже первый визит идёт по HTTPS.
Подача заявки: hstspreload.org. Требования: заголовок HSTS с max-age ≥ 31536000, includeSubDomains, директива preload, HTTPS на всех поддоменах. Обязательство практически бессрочное — удаление занимает 1–2 года, пока обновятся все браузеры. В списке крупные сервисы: google.com, facebook.com, github.com. Риск: забытый поддомен, которому нужен HTTP, быстро не исправить. Сначала включите HSTS без preload на несколько месяцев, проверьте, и только потом подавайте заявку.