最稳妥方式是在宝塔面板站点Nginx配置的server块内手动添加add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;，且需确保HTTPS有效、CDN透传、全站无HTTP回退。
宝塔面板里直接改 Nginx 配置加 HSTS 头最稳妥
宝塔面板本身没有图形化开关控制 HSTS，必须手动在站点的 Nginx 配置中添加 add_header 指令。不建议通过「网站设置 → 防火墙」或「SSL → 强制 HTTPS」等间接方式凑合，那些不会生成标准的 Strict-Transport-Security 响应头。
常见错误是只开了强制 HTTPS 就以为 HSTS 生效了——其实浏览器根本收不到 HSTS 头，下次仍可能走 HTTP 请求，中间人攻击风险仍在。
- 修改位置：宝塔后台 → 网站 → 对应站点 → 「配置文件」选项卡
- 插入位置：必须放在
server块内、且最好在location /或location ~ \.php$之前（否则部分路径可能漏发） - 推荐写法：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
-
always参数关键：否则 Nginx 默认只对 2xx/3xx 响应加头，遇到 404 或 500 就不发，HSTS 失效
max-age 设多少才合理？别盲目抄 1 年
HSTS 的 max-age 是浏览器记住该策略的秒数，设太短起不到防护作用，设太长出问题难回滚。生产环境首次启用不建议直接上 max-age=31536000（1 年）。
- 新站或刚配好 HTTPS：先用
max-age=300（5 分钟），观察日志确认所有资源都走 HTTPS、没混合内容报错 - 稳定运行 1 周后，逐步提升到
max-age=86400（1 天）、max-age=2592000（30 天） - 确认全站无 HTTP 回退路径、CDN 和子域名都支持 HTTPS 后，再考虑加
preload - 注意：
includeSubDomains会强制所有子域名走 HTTPS，如果mail.example.com还没配 SSL，加了这句会导致它直接打不开
加了 HSTS 却没生效？检查这几个硬性条件
HSTS 不是加了头就自动被浏览器认可的，有三个强制门槛：
- 必须通过 HTTPS 返回响应（HTTP 响应里的 HSTS 头会被浏览器直接忽略）
-
Strict-Transport-Security头只能由原始服务器返回，CDN 缓存或反向代理（如 Nginx 前还套了一层 Cloudflare）若未透传该头，浏览器收不到 - 证书必须有效：自签名证书、过期证书、域名不匹配的证书，都会导致浏览器拒绝接受 HSTS 策略
- 验证方法：访问网站后，在浏览器开发者工具 → Network → 刷新任意请求 → 查看 Response Headers 是否含
Strict-Transport-Security；也可用在线工具如 hstspreload.org 检测是否符合预加载要求
想进 Chrome 预加载列表？preload 不是加个参数就完事
加了 preload 只是申请资格，真正进 Chrome 的 HSTS Preload List 还要人工提交审核，而且要求极严：
- 必须满足
max-age >= 31536000、includeSubDomains、preload全部三项 - 根域名和所有子域名都必须可 HTTPS 访问（包括
www、api、cdn等） - HTTP 端口（80）必须返回 301 跳转到 HTTPS，不能是 200 + meta refresh 或 JS 跳转
- 提交后审核周期通常 1–2 周，失败原因多为某个子域名证书异常或跳转不规范
- 进了列表就无法快速撤回——Chrome 发布新版本前，你就算删掉配置，用户旧版浏览器仍会强制 HTTPS 长达数月
真正麻烦的不是加那行配置，而是确保整个 HTTPS 生态闭环：证书链完整、所有子域就绪、CDN 正确透传、跳转逻辑干净。漏掉任何一环，HSTS 要么不生效，要么把用户锁死在错误路径上。
