是否有必要将自己的网站从 HSTS Preload List 中删除？

[ewBuyVmLZMZE]

刚才在 https://cs.chromium.org/chromium/src/net/http/transport_security_state_static.json 这个列表里面看到自己的小破站，惊出一身冷汗，我从来都没有提交过添加申请，怎么就被收录了。万一我以后不想用 HTTPS 还不得搞死。

于是我立刻发邮件申请删除，现在事后冷静下来，觉得加入也没啥，比较 Chrome 的源码里有了我的破站也是很有意思的事情。所以问问大家，你们觉得是加还是不加 HSTS Preload List

[DoraJDJ]

你想你的网站被运营商劫持加上些奇怪的东西进去吗？

[crazycen]

加了，你以后的子域名就要 https 。我已经加了，于是弄个了野卡 ssl

[ewBuyVmLZMZE]

@crazycen 野卡太贵啦，买不起，穷人。

[RqPS6rhmP3Nyn3Tm]

@syhily AlphaSSL 有免费的 wildcard
显然个人用户不会有几个子域的，所以我还是安心用 LE

[mornlight]

你的域名是不是之前被别人用过

[xgfan]

@BXIA 没听说过免费的野卡啊。

[dynos01]

没加，虽然现在所有子域都是 https 而且有 wildcard 证书，但有的时候不得不用 http

[davidyin]

已经把能加入的，都加入了。只要条件允许， https 是一个加分项。

[RqPS6rhmP3Nyn3Tm]

@xgfan https://github.com/Vittfarne/ASSL

[crazycen]

有免费一年的野卡。子域名用的野卡。

[ZE3kr]

@xgfan https://assl.loovit.net

LE 在 beta 拿掉后限制很少的，一张证书 100 个域名，一周几乎就是签无限次。

不过 HSTS 确实比较坑，非 443 端口也 https ，导致我偶尔跨域什么都需要 http 也不行，无奈只能多买几个域名，留几个不开 preload 和 includesubdomain ，也算给自己留个后门吧

删 Preload 过程不是特别麻烦，以后随时删也行。

[Showfom]

弱弱的问一下，如何加入这个列表？

[Hello1995]

@Showfom https://hstspreload.appspot.com

[Showfom]

找到了

nginx 必须增加

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

然后在 这里提交

https://hstspreload.appspot.com/

[wql]

@Showfom 而且 www 子域名必须可以访问~

[abelyao]

@BXIA @ZE3kr 请教一下这东西以后续期怎么办？重新签发吗？

[ZE3kr]

@abelyao 是，所谓续期都是重新前发， csr 和 key 可以一样，不一样也不影响

[xgfan]

@ZE3kr
@BXIA
感谢，不过这货的验证邮件一直没收到过 -_-||

[ranran]

@crazycen 对对对！我也是怕这个，必须用野卡就麻烦了！安全性带来的麻烦！
@dynos01



@ZE3kr 哈哈哈 路由器管理界面搞个域名都管理不了了

[RqPS6rhmP3Nyn3Tm]

@abelyao 对

@xgfan 我签发成功了，但是搞不懂怎么陪着野卡的 csr ，后来还是用 LE