CDN上开启HSTS之前：子域名盘点比复制响应头更重要

在CDN控制台添加一行HSTS响应头很容易，承担这行策略覆盖的全部域名却需要准备。若主域名要求所有子域名都使用HTTPS，一个无人维护的旧系统也可能因此影响用户访问。

它会在客户端留下策略

RFC 6797规定，客户端通过有效安全连接学习HSTS策略，并在有效期内按策略使用HTTPS；includeSubDomains可以把范围扩展到子域名。这与服务器收到HTTP请求后再重定向不同，不能仅通过关闭重定向来撤销用户已经保存的策略。

首次访问和已经学习策略的访问也不同。测试人员长期使用的浏览器可能保留旧状态，所以需要分别观察新环境与已访问环境，而不是只看一次跳转记录。

上线前完成一张子域名责任表

假设企业有官网、帮助中心、客户门户和历史活动站，应逐项确认当前负责人、HTTPS证书、第三方托管关系及退役计划。这是说明范围的示例，不代表某个实际客户的架构。

重点寻找仅支持HTTP的旧服务、由外部团队管理的子域名以及非默认端口入口。子域名归属同一个企业，不意味着所有团队已经完成安全传输改造。无法确认的资源应列为未完成项。

从可控范围逐步扩大

1. 先验证目标域名在正常客户端上稳定提供HTTPS，涵盖登录、下载和异常页。
2. 确定由源站还是边缘统一输出策略，避免不同层产生冲突或重复字段。
3. 选择与验证周期相符的初始有效期，观察实际访问和告警。
4. 只有子域名范围确认完成后，才考虑扩大覆盖并延长策略。

这里没有给出适合所有网站的秒数。有效期越长，客户端持有策略的时间越长，后续调整需要承担的兼容责任也越久。

撤回不是删除响应头这么简单

对于已学习的普通HSTS策略，服务器需要通过有效HTTPS响应传递相应清除策略，客户端还必须再次访问并处理它。只删除配置，旧策略会按原来的有效期继续存在。证书已经坏掉时，不能指望客户端通过不可信连接接受修正。

父域策略与子域自身保存的策略也应分别考虑。处理一个入口时，不要推断其他域名的状态已经自动清除。保留可用HTTPS和正确证书，通常是恢复工作的重要前提。

预加载需要单独决策

HSTS预加载项目有自己的提交和移除要求。不要为了让检测工具多一个绿勾，就在未盘点子域名时提交。预加载影响与普通响应头缓存不同，撤回也不是即时操作，应由域名长期维护方决定。

接入边缘安全加速时，可以让HSTS随配置版本一起管理。交付记录应回答策略在哪里设置、覆盖哪些域名、哪些客户端已验收，以及遇到证书故障时如何恢复可靠的HTTPS访问。

资料核对日期：2026年10月30日。本文由AI辅助整理，技术事实依据文内原始资料核对。示例与操作清单供实施参考；产品配置和软件维护状态以实施时的官方资料为准。