它有什么好的呢？
我的在线银行使用的是HTTPS来保证真实性（我确实连接到了自己的银行）及安全性（传输过程进行加密）的。然而，这还是有问题的…
当我在地址栏中输入”onlinebanking.example.com”时，默认使用的是简单的HTTP。只有当服务器重定向到用户时，才使用能提供安全的HTTPS（理论上并不安全，但实际上很好用）。偏巧的是重定向的过程会给黑客提供中间人攻击。为了解决这一问题，Strict-Transport-Security头部应运而生。
HTTP的Strict-Transport-Security（HSTS）头部强制浏览器使用HTTPS在指定的时候。比如说，如果你进入 https://hsts.example.com，它会返回这样的头部：
Strict-Transport-Security: max-age=31536000; includeSubDomains
即使敲入http://hsts.example.com，浏览器也会自动变成https://hsts.example.com. 只要HSTS头部一直有效，浏览器就会默认这么做。在上例的情况下，在最后一次接收到包含HSTS头的HTTP回复后1年之内都保持有效。所以，如果我2013年1月1日访问了某网站，知道2014年1月1日，浏览器都会使用HTTPS。但如果我2013年12月31日又访问了一次，那有效期也会变成2014年12月31日。
有什么要注意的呢？
目前它仅适用于Chrome和Firefox，IE用户依然存在此漏洞。然而它已经成为了IETF的标准，所以说接下IE应该尽快地也使用Strict-Transport-Security头部。
当然如果使用了HTTPS，就可不必使用此头部了，所以说为什么不用HTTPS呢？切记HTTPS不仅能保证你的内容被加密、不被拦截，还能提供真实性。向用户承诺内容的确来自你。
使用HTTPS还存在着不同的争论，事实上，博客和这个头部都不是基于HTTPS的，所以争论还会持续很久。
哪些浏览器支持？
在哪还能学到更多它的知识呢？
Mozilla Developer Network上有一篇不错的文章：HTTP的 Strict Transport Security头部
若有收获，就点个赞吧
0 人点赞
