HSTS и preload в 2026 году: кто заставляет браузер ходить только по HTTPS

Заголовок Strict-Transport-Security велит браузеру ходить на этот сайт только по HTTPS — и запоминает это на срок из max-age. Он закрывает окно, которое остаётся даже при полном переезде на HTTPS: самый первый запрос, набранный руками или пришедший по старой ссылке, всё равно уходит по HTTP, и его можно перехватить до того, как сработает редирект.

Директива includeSubDomains распространяет правило на все поддомены. Без неё забытый old.example.com остаётся дырой в остальном закрытой обороны.

preload закрывает и самый первый запрос: домен вносится в список, вшитый в сам браузер, и HTTPS применяется ещё до первого обращения. Плата — необратимость: выйти из списка можно, но удаление расходится по релизам браузеров месяцами.

27 августа 2026 года мы запросили по HTTP по 150 хостов на зону из тех, что пользователи приводили в наши инструменты, прошли по редиректам и посмотрели, есть ли в финальном ответе Strict-Transport-Security. Метод намеренно повторяет тот, которым пользуется Scott Helme в ежегодном обзоре топ-1M.

Доли includeSubDomains и preload считаются от тех, кто отдаёт заголовок, а не от всех сайтов зоны.

Оговорки о выборке. Это домены, которые кто-то решил проверить, — не случайный срез зоны, поэтому доля по .ru не годится как оценка «всего Рунета»; сравнение зон между собой корректно, они набраны одинаково. Не ответивших исключили из знаменателя: по .ru и .com их было по 31, по .org 38, по .net 58. Высокий отсев в .net объясняется составом: туда попали служебные имена вида *.ip-ns.net, за которыми сайта нет вовсе, — к этой строке таблицы стоит относиться осторожнее прочих.

Косвенная проверка метода: по .com у нас 48% с includeSubDomains, а Scott Helme на 819 002 сайтах топ-1M получил 49,8%. Числа сошлись на выборке, меньшей в пять тысяч раз, — это не доказывает правильность, но говорит, что замер не смещён грубо.

Список — не абстракция, а файл в исходниках Chromium, и его можно посчитать. 27 августа 2026 года в transport_security_state_static.json было 94 628 записей; последняя правка файла датирована 28 июля 2026 года. У 94 378 из них стоит include_subdomains.

Записи попали туда по разным основаниям: массовое внесение сроком на год — 84 352, запрос владельца публичного суффикса — 4 954, массовое внесение на 18 недель — 4 552, индивидуальные заявки — 394.

Важная тонкость: запись — не сайт. Почти все несут includeSubDomains, то есть покрывают неизвестное число поддоменов, а пять тысяч записей относятся к целым доменным зонам. Реальное число защищённых хостов существенно больше 94 628 и никем не измерено.

Отдельно стоит развести две вещи, которые часто путают. По замеру Helme 29,2% сайтов с HSTS отправляют директиву preload, но требованиям списка удовлетворяет только 21% (53 019 сайтов). Отправить директиву и попасть в список — не одно и то же: заявку надо подать, и она проходит проверку.

13 июня 2026 года Scott Helme обошёл Tranco Top 1 Million; ответили 819 002 сайта, заголовок HSTS отдали 252 846 из них. Сам он процент не приводит — от числа ответивших это 30,9%, и это наш расчёт по его числам, а не его публикация. Оттуда же: 69,2% выставляют max-age не меньше года.

Второй независимый замер — HTTP Archive: 36% страниц на мобильных отдают HSTS. Это данные краула июля 2025 года, опубликованные в январе 2026-го; выпуска Web Almanac за 2026 год не существует, и подавать эту цифру как свежую нельзя.

Складывать эти числа между собой бессмысленно: Helme считает сайты, HTTP Archive — страницы, мы — хосты из своей выборки. Каждое верно в своих границах.

По max-age расхождение с нами заметное: у нас не меньше года выставляют 88% отдающих HSTS в .ru и 80% в .com против 69,2% у Helme. Скорее всего дело в размере выборки, а не в реальном различии.

Это самое интересное в замере. Мы измеряли три защиты подряд, и картина по .ru получилась разная:

Там, где настройка делается на своём сервере, .ru отстаёт умеренно. Там, где нужна поддержка со стороны регистратора, — отстаёт на порядок. Это ровно та разница, которую даёт не осведомлённость владельца, а наличие поля в чужой панели: про HSTS и про CAA российский администратор знает примерно одинаково, но включить может только первое.

Вывод практический: если вы выбираете, на что потратить час, — HSTS вы поставите сами прямо сейчас, а вот наличие DNSSEC и CAA стоит проверить у регистратора до того, как переносить к нему домен.

1. Посмотрите, отдаёт ли ваш сайт заголовок. Это видно в проверке заголовков ответа вместе с остальной защитой.
2. Сначала убедитесь, что HTTPS работает везде — включая все поддомены. HSTS с includeSubDomains на сайте, где часть поддоменов живёт по HTTP, сделает их недоступными.
3. Начните с короткого max-age — например, суток. Убедитесь, что ничего не сломалось, и только потом поднимайте до года.
4. Про preload подумайте отдельно. Это единственная из настроек, которую трудно откатить: удаление из списка расходится по релизам браузеров месяцами. Подавайте заявку, когда HTTPS на всех поддоменах перестал вызывать вопросы, а не в тот же день.