HSTS预加载清单（HSTS Preload List）是浏览器内置的一份强制HTTPS访问的域名白名单。一旦你的网站域名被收录进这份清单，任何用户通过浏览器访问你的站点时，都会被强制使用HTTPS协议，哪怕用户手动输入http://或者点击了不安全的链接，浏览器也会自动升级为HTTPS连接，从根本上杜绝降级攻击和中间人劫持。要进入这份清单，你需要满足一系列严格的技术条件，包括正确配置HSTS响应头、有效的SSL证书、支持HTTP/2等，并且主动向预加载清单的官方维护者提交申请。下面我会把整个流程、技术细节和注意事项全部讲清楚。
什么是HSTS以及它为什么重要
HSTS全称HTTP Strict Transport Security，翻译过来就是HTTP严格传输安全。它的核心机制非常简单：服务器在响应头中返回一个叫做Strict-Transport-Security的字段，告诉浏览器"在接下来的一段时间内，你只能通过HTTPS来访问我，不允许用HTTP"。这个机制解决的是一个非常现实的安全问题——SSL剥离攻击。攻击者可以在用户第一次访问网站时，把HTTPS连接降级成HTTP，然后窃取数据。有了HSTS之后，浏览器会记住这个规则，下次直接跳过HTTP，强制走加密通道。
但普通的HSTS有一个致命缺陷：它依赖"第一次访问"。如果用户从来没有用HTTPS访问过你的网站，那第一次请求仍然可能被劫持。HSTS预加载清单就是为了解决这个"第一次"的问题。浏览器出厂时就自带了这份清单，里面收录了数十万个域名。只要你的域名在清单里，用户第一次打开浏览器访问你的网站，就已经被强制HTTPS了，根本不给攻击者任何机会。
HSTS预加载清单的官方入口和维护机制
目前HSTS预加载清单由Chromium项目维护，同时被主流浏览器（Chrome、Firefox、Safari、Edge等）共同采用。官方的提交入口在Chromium的HSTS预加载网站上，地址是https://hstspreload.org。你需要在这个网站上提交你的域名，经过审核通过后，你的域名就会被编入下一个浏览器版本的预加载清单中。这个清单会随着浏览器的定期更新推送到所有用户的浏览器中。
需要特别说明的是，预加载是一个单向操作。一旦你的域名进入清单，想要移除需要等到max-age过期，这个时间通常很长（官方建议至少设置为一年以上）。所以在提交之前，你必须百分之百确认自己的配置没有问题，否则后期想撤回会非常麻烦。
进入HSTS预加载清单的硬性技术要求
官方对提交预加载清单的域名有明确的技术要求，每一条都必须满足，缺一不可。我把这些要求逐条列出来：
第一，HSTS响应头的max-age值必须至少为31536000秒，也就是一年。如果你设置的时间更长，比如两年（63072000秒），那是可以的，但不能低于一年。
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
第二，必须包含includeSubDomains指令。这意味着你的所有子域名也都会被强制HTTPS，不能有任何子域名例外。
第三，必须包含preload指令。这个指令是告诉浏览器"我已经准备好进入预加载清单了"，没有这个指令，即使其他条件都满足，也不会被收录。
第四，必须支持HTTP重定向到HTTPS。也就是说，如果有人通过HTTP访问你的80端口，你的服务器必须能正确地301或302重定向到HTTPS版本。
第五，根域名的HTTPS证书必须有效且没有过期。证书必须由受信任的CA签发，不能是自签名证书。
第六，必须支持TLS 1.2或更高版本，不支持过时的SSL协议和弱加密套件。
第七，如果你的网站使用了HTTP/2，那必须通过HTTPS提供，不能通过HTTP提供HTTP/2。
如何正确配置HSTS响应头
配置HSTS响应头是整个流程中最核心的技术环节。不同的Web服务器有不同的配置方式，我分别说明。
如果你使用的是Nginx，在你的server块或者http块中添加以下配置：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
注意这里的always参数非常关键，它确保即使在错误页面（比如404、500）中也会返回这个响应头，而不是只在200状态码时返回。
如果你使用的是Apache，需要在配置文件或者.htaccess中添加：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
如果你使用的是IIS，可以通过web.config文件配置：
<system.webServer>
<httpProtocol>
<customHeaders>
<add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload" />
</customHeaders>
</httpProtocol>
</system.webServer>如果你使用CDN服务（比如Cloudflare、阿里云CDN等），通常可以在CDN的控制台或者规则引擎中直接开启HSTS功能，但你需要确认CDN是否支持自定义响应头中包含preload指令。
提交预加载清单的完整步骤
第一步，先在你的服务器上完成HSTS配置，确保所有要求都满足。配置完成后，用浏览器开发者工具或者在线工具（比如securityheaders.com）检查响应头是否正确返回。
第二步，访问https://hstspreload.org，在页面上输入你的域名，点击"Check"按钮。系统会自动检测你的域名是否满足所有预加载条件，包括证书有效性、HSTS头配置、重定向测试等。如果有任何一项不通过，页面会给出具体的错误提示。
第三步，所有检测项都通过后，点击"Submit"按钮提交你的域名。提交后你会进入审核队列，通常需要几天到几周的时间。审核通过后，你的域名会被加入下一个浏览器版本的预加载清单。
第四步，提交成功后，你可以在同一个网站上查询你的域名状态。状态会显示为"Pending"（等待中）、"Included"（已收录）或者"Removed"（已移除）。
提交前必须做的安全检查清单
在正式提交之前，我建议你做一次全面的安全检查，避免因为配置失误导致域名被锁死在预加载清单中无法撤回。具体检查项如下：
检查一：确认你的SSL证书覆盖了所有子域名。如果你使用通配符证书（*.example.com），那没问题。如果是单域名证书，你需要为每个子域名单独申请或者改用通配符证书。
检查二：确认所有HTTP请求都能正确重定向到HTTPS，包括根域名、www子域名以及所有其他子域名。可以用curl命令逐一测试：
curl -I http://example.com curl -I http://www.example.com curl -I http://sub.example.com
检查三：确认你的网站在HSTS max-age过期之前不会更换域名或者停止HTTPS支持。因为一旦进入预加载清单，在max-age有效期内你无法主动移除，只能等它自然过期。
检查四：确认没有任何内部系统、API接口或者第三方服务依赖HTTP访问。有些老旧的内部系统可能只支持HTTP，如果你开启了includeSubDomains，这些系统也会被强制HTTPS，可能导致功能异常。
检查五：确认你的证书链完整，中间证书没有缺失。可以用SSL Labs的测试工具检查证书链是否完整。
HSTS预加载的实际效果和局限性
从实际效果来看，HSTS预加载是目前最强的传输层安全措施之一。它能有效防止SSL剥离攻击、Cookie劫持、协议降级攻击等多种威胁。对于金融、电商、医疗等对安全性要求极高的行业，HSTS预加载几乎是标配。
但它也有局限性。首先，它只保护浏览器访问场景，如果用户通过非浏览器方式（比如命令行工具curl、某些桌面应用程序）访问你的网站，HSTS预加载不会生效。其次，如果你的证书出了问题（比如过期、被吊销），用户会完全无法访问你的网站，因为浏览器不会给用户任何"继续访问"的选项。这也是为什么在提交预加载之前，你必须确保证书管理流程万无一失。
另外一个容易被忽视的点是：HSTS预加载不能替代其他安全措施。它只是传输层的一个保障，你仍然需要做好应用层安全、内容安全策略（CSP）、跨站脚本防护（XSS）等其他方面的工作。安全是一个体系，HSTS预加载只是其中重要的一环。
常见错误和排查方法
在实际操作中，很多人会遇到提交失败的情况。最常见的错误包括：HSTS头没有在所有响应中返回（比如错误页面没返回）、证书链不完整、某些子域名没有HTTPS支持、max-age设置不够长等。
排查方法很简单：用hstspreload.org的检测工具逐一排查，它会告诉你具体哪一项不通过。如果是证书问题，用SSL Labs检测；如果是重定向问题，用curl加-L参数跟踪完整的重定向链路；如果是响应头问题，用浏览器开发者工具的Network面板查看每一个请求的响应头。
还有一个隐蔽的问题：有些CDN或者负载均衡器会"吃掉"你设置的HSTS响应头。如果你在源站配置了HSTS，但通过CDN访问时看不到这个头，那就需要在CDN层面也进行配置。不同CDN的操作方式不同，需要查阅对应的文档。
总结与建议
HSTS预加载清单是网站安全防护的高级手段，它的核心价值在于从"第一次访问"就开始保护用户。但它也是一把双刃剑——配置正确是安全保障，配置错误就是给自己挖坑。我的建议是：在提交之前至少观察一到两周，确保所有配置稳定运行没有问题；做好证书自动续期的机制，避免证书过期导致网站完全不可访问；同时制定应急预案，万一真的需要紧急移除，你知道该怎么应对。把这些都做到位了，HSTS预加载才能真正成为你网站安全体系中的一块坚固盾牌。
