En detalle
Un sitio envía la cabecera Strict-Transport-Security: max-age=31536000; includeSubDomains. El valor 31536000 son 365 días en segundos. Durante ese periodo el navegador reescribe cualquier petición http:// al sitio como https:// antes de enviarla y se niega a continuar ante errores de certificado. includeSubDomains lo extiende a todos los subdominios y una opción preload permite pedir que el sitio se incluya en las listas de los navegadores. La cabecera solo se considera fiable cuando llega por HTTPS.
Por qué importa
Sin HSTS, la primera petición a http://example.com viaja en texto claro antes de que una redirección lleve al visitante a HTTPS, lo que da a un atacante en la red la oportunidad de interceptar o degradar la conexión. HSTS cierra esa ventana en todas las visitas posteriores a la primera. Como es difícil de deshacer, un sitio debe comprobar que todos sus subdominios funcionan con TLS antes de activar includeSubDomains.
Ejemplo
Comprueba si un sitio envía HSTS y cuánto dura con el analizador de encabezados de seguridad, y rastrea la redirección de HTTP a HTTPS con el rastreador de cadena de redirecciones HTTP.
Confusión habitual
HSTS no sustituye a la redirección de HTTP a HTTPS: la redirección sigue haciendo falta en la primera visita. Tampoco cifra nada por sí mismo; solo garantiza que el navegador use HTTPS.