HSTS preload 提交容易，撤回很难

HSTS preload 是把域名写进浏览器内置的 HSTS 列表，用户第一次访问就走 HTTPS，不需要先收到一次响应头。安全感很强，代价是撤回极慢。

提交到 hstspreload.org 之后，要满足几个条件：有效的证书、所有子域都支持 HTTPS、响应头包含 includeSubDomains 和 preload、max-age 至少一年。审核通过后，还要等 Chrome、Firefox、Safari 各自发版才生效——几个月起步。

撤回时同样要等各浏览器发版，而且没有“紧急下架”。如果你有一堆子域、有内部系统用自签证书，提交前一定想清楚。

对小站点来说，普通的 HSTS 头已经够用，preload 的边际收益很小，风险却不可逆。