Вы добавили HSTS preload, но протокол не применяется для первых посетителей. Или домен не появляется в списке preload. Или поддомены не защищены. Причина может быть в требованиях, статусе или настройках. Разберём, почему HSTS preload не работает и как это исправить.
Что такое HSTS preload
HSTS preload — это механизм, который добавляет домен в список preload браузеров. После этого браузеры применяют HSTS даже для первых посетителей, которые ещё не получали заголовок.
Это важно, потому что HSTS работает только после того, как браузер получил заголовок. Preload решает эту проблему.
Но preload требует соблюдения строгих требований. Если хотя бы одно не выполнено, домен не попадёт в список.
Требования HSTS preload
Основные требования:
— действительный SSL-сертификат;
— редирект с HTTP на HTTPS;
— заголовок HSTS с max-age не менее 31536000 (1 год);
— includeSubDomains;
— директива preload;
— все поддомены поддерживают HTTPS.
Если хотя бы одно требование не выполнено, preload не работает.
Причина 1: max-age слишком короткий
Для preload max-age должен быть не менее 31536000 секунд (1 год). Если max-age меньше, домен не будет включён в список.
Что проверить:
— значение max-age;
— соответствует ли оно требованию;
— не уменьшается ли оно со временем.
Для проверки используйте проверка HSTS — инструмент покажет текущие параметры заголовка.
Причина 2: отсутствует includeSubDomains
Для preload требуется includeSubDomains. Без него домен не будет включён в список.
Что проверить:
— есть ли includeSubDomains;
— поддерживают ли поддомены HTTPS;
— нет ли поддоменов без HTTPS.
Если поддомен не поддерживает HTTPS, includeSubDomains может сломать его доступ.
Причина 3: отсутствует директива preload
Для preload требуется директива preload в заголовке. Без неё домен не будет включён в список.
Что проверить:
— есть ли preload в заголовке;
— правильный ли синтаксис;
— не удаляется ли директива CDN.
Причина 4: домен не подан в preload
Даже если все требования выполнены, домен нужно подать в список preload через специальный сервис.
Что проверить:
— подан ли домен;
— одобрен ли он;
— есть ли ошибки в заявке;
— не отозвана ли заявка.
Причина 5: поддомены не поддерживают HTTPS
Для preload все поддомены должны поддерживать HTTPS. Если хотя бы один поддомен не поддерживает, preload не будет работать.
Что проверить:
— все ли поддомены поддерживают HTTPS;
— нет ли поддоменов без сертификата;
— нет ли поддоменов с ошибками.
Если поддомен не поддерживает HTTPS, preload может сломать его доступ. Убедитесь, что все поддомены работают по HTTPS.
Как найти причину
Пошаговая диагностика:
— проверьте max-age;
— проверьте includeSubDomains;
— проверьте preload;
— проверьте статус заявки;
— проверьте поддомены;
— проверьте, нет ли ошибок в заголовке.
Как исправить
План действий:
— увеличить max-age до 31536000;
— добавить includeSubDomains;
— добавить preload;
— убедиться, что все поддомены поддерживают HTTPS;
— подать домен в preload;
— проверить статус.
Как проверить результат
Чек-лист:
— max-age 31536000;
— includeSubDomains указан;
— preload указан;
— все поддомены поддерживают HTTPS;
— домен подан в preload;
— HSTS применяется для первых посетителей.
Если нужно проверить сразу несколько параметров — HSTS, SSL, редиректы — логично перейти к SEO-аудиту.
Частые ошибки
— max-age слишком короткий;
— нет includeSubDomains;
— нет preload;
— домен не подан;
— поддомены без HTTPS;
— отсутствие проверки после изменений.
FAQ
Почему HSTS preload не работает?
Скорее всего, не выполнены требования: max-age, includeSubDomains, preload, HTTPS на поддоменах или домен не подан в список.
Какой max-age нужен для preload?
Не менее 31536000 секунд (1 год).
Обязателен ли includeSubDomains для preload?
Да. Без него домен не будет включён в список.
Что будет, если поддомен не поддерживает HTTPS?
Preload может сломать доступ к поддомену. Убедитесь, что все поддомены поддерживают HTTPS.
Как подать домен в preload?
Через сервис hstspreload.org. Нужно подтвердить выполнение требований.
Сколько времени занимает включение в preload?
От нескольких недель до нескольких месяцев. Зависит от браузеров и обновлений списка.
Можно ли отозвать домен из preload?
Да, но это может занять время. После отзыва HSTS будет работать до истечения max-age.
Влияет ли preload на SEO?
Косвенно. HSTS улучшает безопасность и доверие, что может положительно влиять на SEO.
Что делать, если домен не появляется в списке?
Проверьте требования, статус заявки и поддомены. Если всё в порядке, подождите — список обновляется не сразу.
Можно ли использовать preload без includeSubDomains?
Нет. Для preload требуется includeSubDomains.
