Nach dem ersten Besuch ersetzt der Browser jede http://-Adresse der Domain intern durch https://, bevor eine Anfrage das Netz verlässt. Das schützt vor SSL-Stripping in öffentlichen WLANs. Außerdem lassen sich Zertifikatsfehler dann nicht mehr wegklicken.
max-age gibt die Dauer in Sekunden an, includeSubDomains erweitert die Regel auf alle Subdomains, preload erlaubt die Aufnahme in die fest eingebaute Liste der Browser. Nextcloud empfiehlt mindestens 15552000 Sekunden (180 Tage).
Vorsicht bei includeSubDomains und Preload: Ein interner Dienst unter einer Subdomain, der nur HTTP kann, ist danach im Browser nicht mehr erreichbar. Zurücknehmen lässt sich das nur langsam, weil Browser den Wert bis zum Ablauf von max-age behalten.
Beispiel
Strict-Transport-Security: max-age=15552000; includeSubDomains