Dopo la prima visita il browser riscrive internamente ogni URL http:// del dominio in https://, prima che la richiesta esca. Questo protegge dallo SSL stripping sulle reti Wi-Fi pubbliche. Inoltre gli errori di certificato non si possono più ignorare con un clic.
max-age indica la durata in secondi, includeSubDomains estende la regola a tutti i sottodomini, preload permette l'inserimento nella lista integrata nei browser. Nextcloud consiglia almeno 15552000 secondi (180 giorni).
Attenzione a includeSubDomains e preload: un servizio interno su un sottodominio che parla solo HTTP diventa irraggiungibile dal browser. Tornare indietro è lento, perché i browser conservano la policy fino alla scadenza di max-age.
Esempio
Strict-Transport-Security: max-age=15552000; includeSubDomains