hsts生效后无法回退http，必须安全解除策略：未预加载时设max-age=0并持续返回至少原时长；已预加载则只能永久维持https或申请移除（需满1年且满足严苛条件）。
不能“回退 HTTP”——HSTS 生效后，浏览器已强制 HTTPS，你无法让访客重新走 HTTP。真正要做的，是安全地解除 HSTS 策略，让浏览器停止强制跳转，并确保所有子域、路径、协议层都稳定支持 HTTPS 或明确不依赖它。
先确认是否真需解除 HSTS
HSTS 不是故障，而是安全策略生效的表现。常见误判场景：
- 测试环境误配了
includeSubDomains，导致dev.example.com因无 HTTPS 而打不开 → 实际应修复子域 HTTPS，而非删 HSTS - 临时关闭网站维护，想让用户用 HTTP 访问 → 这不可行，HSTS 下用户根本发不出 HTTP 请求；正确做法是维持 HTTPS 服务（哪怕返回 503）
- 误提交预加载（
preload）→ 预加载一旦审核通过即写入浏览器源码，无法撤回，只能等数月后从列表中移除（且需满足严格条件）
未进预加载列表时的可控回退步骤
仅适用于：HSTS 已启用但 尚未提交或未被 hstspreload.org 接收，且你仍控制域名 DNS 和 Nginx 配置。
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 将
max-age改为0，并持续在 所有 HTTPS 响应中返回该头至少原 max-age 时长（例如原设 1 年，则需连续 31536000 秒返回Strict-Transport-Security: max-age=0） - 配置必须带
always参数：add_header Strict-Transport-Security "max-age=0" always;，否则 404/500 响应不发头，浏览器不会清除缓存 - 确保 80 端口仍保留 301 跳转（
return 301 https://$host$request_uri;），避免用户手动输 http:// 后卡在跳转环里 - 验证方式：用新浏览器（或隐身窗口）访问
http://example.com，确认能跳到 HTTPS；再访问https://example.com，打开开发者工具 → Application → Clear storage → “Clear HSTS settings”（Chrome）或手动清除（Firefox 需输入about:config搜索network.stricttransportsecurity）
已进入预加载列表的现实处理方式
一旦域名在 hstspreload.org 列表中，浏览器启动即硬编码强制 HTTPS，你无法通过响应头撤销。此时唯一路径是：
-
永久维持 HTTPS 可用性：主站与全部子域（含
www、api、cdn、mail等）必须长期提供有效证书、可访问、无重定向漏洞 - 若某子域确无需 HTTPS（如内网测试子域），应在 DNS 层隔离（不解析）或用
server_name显式排除，避免其出现在includeSubDomains覆盖范围内 - 如需从预加载移除，须登录 hstspreload.org 提交申请，满足：
max-age=0持续满 1 年 + 全域 HTTPS 关闭 + DNS 删除相关记录 + 等待 Chrome 下一版本发布（通常 3–6 个月）
操作前必须完成的安全备份与验证
任何 HSTS 修改都属于高危变更，按标准运维流程执行：
- 变更前：备份当前 Nginx 配置（含时间戳与主机名），并生成 SHA256 校验值：
sha256sum /etc/nginx/conf.d/ssl.conf > /etc/nginx/conf.d/ssl.conf.sha256.bak - 变更中：用临时文件编辑，
nginx -t测试通过后再原子替换（mv ssl.conf.new ssl.conf），全程记录diff变更内容 - 变更后 60 秒内验证：
curl -I https://example.com | grep Strict确认响应头已更新；用不同设备、浏览器检查跳转行为是否符合预期
