Strict-Transport-Security
Указывает браузерам обращаться к сайту только по HTTPS, защищая от атак понижения протокола и перехвата cookie.
Синтаксис
Strict-Transport-Security: max-age=<секунды>; includeSubDomains; preloadПример
Strict-Transport-Security: max-age=31536000; includeSubDomains; preloadОписание
Заголовок Strict-Transport-Security (HSTS) сообщает браузерам использовать только HTTPS. После получения браузер автоматически преобразует все HTTP-запросы в HTTPS на указанный период.
Директива max-age задаёт время (в секундах) обязательного HTTPS. includeSubDomains распространяет политику на поддомены. preload позволяет включить домен в список предзагрузки HSTS.
HSTS необходим для предотвращения атак «человек посередине», SSL stripping и перехвата cookie.
Как этот заголовок отдают реальные сайты
Ответы главных страниц 502 популярных сайтов из каталога /check enterno.io, проверенных за последние 30 дней.
63,1 %
(317 из 502) отдают Strict-Transport-Security.
Самые частые значения:
max-age=31536000— сайтов: 66max-age=31536000; includeSubDomains; preload— сайтов: 53max-age=31536000; includeSubDomains— сайтов: 50
Посмотреть на примере: mail.ru, yandex.ru, discord.com, github.com, cloudflare.com
Отчет «Безопасность популярных сайтов», ноябрь 2026: из 5 501 главных страниц по HTTPS в отчете
- 58,2 % отдают HSTS
- 44,8 % max-age от года
- 16,3 % готовы к списку preload
Проверьте, правильно ли ваш сайт отправляет этот заголовок
Проверить заголовки →