max-age=300
Le laboratoire utilise cinq minutes afin que le navigateur oublie rapidement la règle. Un site de production stabilisé choisit généralement une durée bien plus longue.
Comprendre la configuration
Une bonne protection se prépare
HSTS est simple à écrire, mais sa portée et sa durée méritent une décision consciente.
Pas de includeSubDomains
Cette option étend la règle à tous les sous-domaines. Elle ne doit être activée que lorsque chacun d’eux fonctionne durablement en HTTPS.
Pas de preload
Le préchargement demande un engagement plus fort et une inscription séparée auprès des navigateurs. Ajouter simplement le mot au header ne précharge rien.
Le bénéfice concret
Une fois la règle apprise, même un ancien favori, un lien tapé en HTTP ou une URL copiée sans le s est renforcé localement avant le départ de la requête.