nginx安全参数

Strict-Transport-Security

Strict-Transport-Security，简称 HSTS。该响应头用于标识浏览器用 HTTPS 替代 HTTP 的方式去访问目标站点。

我们知道  HTTPS 相对于  HTTP 有更好的安全性，而很多  HTTPS 网站，也可以通过  HTTP 来访问。开发人员的失误或者用户主动输入地址，都有可能导致用户以  HTTP 访问网站，降低了安全性。一般，我们会通过  Web Server 发送  301/302 重定向来解决这个问题。 （Jerry Qu）

我们可以使用下面方式启用 HSTH。

add_header strict-transport-security: max-age=16070400; includeSubDomains;

当用户第一次访问后，将返回一个包含了 strict-transport-security 响应头的字段。他将告诉浏览器，在接下来的 16070400 秒内，当前网站的所有请求都强制使用 HTTPS 的方式访问。即使用户手动输入 http://，浏览器也会强制使用 HTTPS 方式访问。

参数 includeSubDomains 是可选的，当指定了该参数，所有子域名将采用同样的 HSTS 规则。