hsts导致证书更换后无法访问，因其强制https且拒绝任何证书异常。应临时将max-age设为300秒覆盖旧策略，通过chrome://net-internals验证生效，问题解决后再恢复稳健配置。
如果在更换 SSL 证书后，用户突然无法访问网站（尤其是子域），且浏览器提示“您的连接不是私密连接”“此网站使用了不受信任的证书”或直接空白页，而你确认新证书本身有效、路径正确、Nginx 已 reload——那很可能是 HSTS 的 max-age 和 includeSubDomains 在“生效中”，导致浏览器强制走 HTTPS 并拒绝接受任何证书异常（哪怕只是临时不匹配），连重定向和错误页都绕不过去。
为什么HSTS会让证书替换变棘手
HSTS 不是普通响应头，它是浏览器本地强制策略。一旦生效：
- 浏览器会忽略所有 HTTP → HTTPS 重定向，直接发起 HTTPS 请求；
- 只要证书链校验失败（如域名不匹配、过期、自签名、中间 CA 缺失），连接立即终止，不给用户“继续访问”选项；
- 即使你把旧证书换回、停用新配置，只要 max-age 没过期，浏览器仍坚持用 HTTPS 尝试，并持续报错；
- includeSubDomains 开启后，一个子域（如 api.example.com）证书异常，可能连主站 example.com 都被连带拦截（因浏览器将整个域名树视为一体保护）。
安全临时缩短 max-age 的实操步骤
目标：让已缓存 HSTS 策略快速失效，为证书修复争取时间。注意：这不是“禁用 HSTS”，而是用更短有效期覆盖旧策略。
- 在 HTTPS 的 server 块中，把原 HSTS 头改为：
add_header Strict-Transport-Security "max-age=300; includeSubDomains" always;
（去掉 preload，max-age 设为 300 秒 = 5 分钟） - 确保该配置只出现在 启用 HTTPS 的 server 块（即 listen 443 ssl 的块），不能写在 HTTP 块或未启用 SSL 的块里，否则无效；
- 运行
nginx -t校验语法，再执行nginx -s reload（必须 reload，不是 restart）； - 等待 5–10 分钟，让多数用户浏览器收到新响应头并更新本地策略；
- 此时用户再次访问，HSTS 有效期只剩 5 分钟，出错后等待一段时间即可自动降级尝试 HTTP（若你同时配了 301 重定向）或重新握手。
如何验证 max-age 是否已更新生效
别依赖日志或配置文件，直接看浏览器行为：
- 用 Chrome 访问
chrome://net-internals/#hsts，在 “Query domain” 输入你的域名，点击 Query；
查看返回的 expiry 时间是否已大幅提前（比如从 2027 年变成 2026 年 9 月 15 日 +5 分钟）； - 用 curl 测试响应头：
curl -I https://example.com 2>/dev/null | grep Strict-Transport-Security
确认输出中 max-age=300 且无 preload； - 开一个无痕窗口访问主站和关键子域，观察是否不再立即报证书错误，或错误后刷新能恢复（说明策略已弱化）。
后续恢复与加固建议
max-age 缩短只是应急手段，不是长期方案。问题解决后应逐步回归稳健配置：
- 确认新证书全链完整、所有子域 HTTPS 可用、无混合内容后，再把 max-age 恢复为 31536000；
- 若需保留 preload，必须满足全部硬性条件：max-age ≥ 31536000、含 includeSubDomains、所有子域响应头含相同 HSTS、全站无 HTTP 回退；
- 今后更换证书前，在监控中加入“HSTS 策略剩余有效期”指标，避免在 max-age 高峰期操作；
- 对多子域站点，建议拆分 HSTS 策略：主站设 includeSubDomains，非核心子域（如 dev、staging）单独配置不含该参数，降低连锁风险。
