HSTS preload
Lista över domäner som alla större browsers (Chrome, Firefox, Safari, Edge) hardkodar som "alltid HTTPS — aldrig tillåt HTTP". Eliminerar trust-on-first-use-fönstret för HSTS — även första besöket går via HTTPS.
Submission: hstspreload.org. Krav: HSTS-header med max-age ≥ 31536000, includeSubDomains, preload-direktiv, alla subdomäner kör HTTPS. Permanent åtagande — att tas bort tar 1-2 år genom alla browser-uppdateringar. Stora services: google.com, facebook.com, github.com är preloaded. Risken: en bortglömd subdomän som måste köra HTTP → kan inte fixas snabbt. Sätt först HSTS utan preload några månader, verifiera, skicka sen in.