ssl - HSTS 应至少为 180 天，为什么？

Question

我在 ssllabs 对我的网站进行了测试。我启用了 HSTS 90 天，因为我不知道我将使用 SSL 多久，而我当前的证书在 89 天后结束。

现在我收到警告：

太短（少于 180 天） max-age=7776000

这让我想知道，为什么最少要 180 天。长 HSTS 背后的原因是什么？

Answer 1

越长越好，SSLLabs 决定 180 天是他们足够安全的门槛。如果您是一个较小的网站，很有可能有人不会在 90 天的窗口内再次访问，因此他们不会受到 HSTS 的保护。如果您在 90 天时已经拥有它，您不妨将其设置为一年或更长时间，因为在那之后您不能只关闭 TLS。请记住，它不是从您启用 HSTS 开始的 90 天，而是从给定浏览器的最后一次访问开始的 90 天。