在nginx配置文件上設置HSTS響應頭部。

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

always 參數確保所有的響應設置該頭部，包括內部產生的錯誤響應。nginx版本早於1.7.5不支持該always參數和內部產生的錯誤響應不設置該頭部信息。

add_header指令繼承規則：

nginx配置塊繼承add_header指令所在的封裝塊，因此只需將add_header指令放在頂級的server塊。此外還有個重要的例外，如果一個塊包含了add_header指令本身，它不會從封裝塊繼承該頭部，你需要重新定義所有的add_header指令。

server {    listen 443 ssl;     add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;     # This 'location' block inherits the STS header    location / {        root /usr/share/nginx/html;    }     # Because this 'location' block contains another 'add_header' directive,    # we must redeclare the STS header    location /servlet {        add_header X-Served-By "My Servlet Handler";        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;        proxy_pass http://localhost:8080;    }}

測試HTTP嚴格傳輸安全：

一旦用戶提出HSTS策略，它的緩存信息期由max-age指定。在此期間，浏覽器將會拒絕通過未加密的HTTP訪問web服務，並拒絕給予例外證書錯誤（如果該網站以前提交了一個有效可信的證書）。如果指定了一個includeSubDomanis參數，這些限制也同樣適用於當前域下的所有子域。

當你測試HSTS時，max-age時間設置短點。

是否每個HTTPS響應需要有一個STS頭部：

我們的目標是當用戶開始HTTPS回話時，盡可能快的呈現HSTS策略。如果他們在回話期間接收到HSTS策略，他們仍然容易受到HTTP劫持攻擊的。浏覽器只需查看一次STS頭部，因此它不是嚴格必要將它添加到每個位置塊和每個響應。然而，只在主頁或者登陸頁面添加它可能是不夠的，如果你只添加到緩存的響應，客戶端可能無法看到它。確保盡可能多的合理的覆蓋到你的URL，特別注意動態的內容。

server {    listen  80;    listen  443 ssl;    ...}

server {    listen 80 default_server;    listen [::]:80 default_server;    server_name _;     # Discourage deep links by using a permanent redirect to home page of HTTPS site    return 301 https://$host;     # Alternatively, redirect all HTTP links to the matching HTTPS page    # return 301 https://$host$request_uri;} server {    listen 443 ssl;    server_name www.ttlsa.com;     add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;}