将网站提交到HSTS Preload List，强制使用HTTPS 协议连线更安全

mianfeiziyuan

在SSL中有一个很重要的机制叫做「HSTS」（HTTP Strict Transport Security），中文翻译为「HTTP强制安全传输」，顾名思义就是告诉浏览器这个网站强制使用HTTPS协定，借此减少连线过程可能遭遇的风险。开启HSTS后未来浏览器就会自动将HTTP转为HTTPS请求，即使凭证失效，使用者也无法忽略警告继续浏览网站。

如果熟悉HSTS运作方式，会知道在HTTP header加入  Strict-Transport-Security参数就能告诉浏览器该网站使用强制安全传输机制，在遇到使用HTTP访问时就能自动跳转到HTTPS，但很多人可能不知道，常见浏览器都使用一份叫做「HSTS Preload List」的网站列表。

HSTS Preload List  是一份包含在Chrome浏览器的网域名称清单，这份清单会把支援HSTS网域名称直接写进浏览器，在访问网站前就直接使用HTTPS作为传输协议，也能让速度稍微加快一些。目前主要浏览器包括Chrome、Firefox、Opera、Safari、IE和Edge都有一份基于HSTS Preload List的预先载入清单。

如果你决定让网站永久使用HTTPS 协议，可主动提交网域名称至HSTS Preload List，过程不算太难，但需要满足一些条件，包括：

使用有效的SSL凭证。
在同网址上将HTTP 重新导向至HTTPS。
让所有子网域名称都使用HTTPS 协定。
在HTTPS 请求时传送一个 HSTS header。
更多细节我在接下来示范提交过程时会一并说明，如果不够清楚，建议使用者上网寻找其他相关资料，因为HTTPS牵涉的技术较多，可能必须要更动到程式码，若没有设定完整就贸然开启HSTS可能会让网站无法正常开启运作，请务必小心。

网站名称：HSTS Preload List
网站链结：https://hstspreload.org/