工具用的顺手吗？
你的反馈能帮助我们做得更好
检测网站HSTS配置状态，分析安全头参数，提升HTTPS强制传输安全性。
目前使用testssl.sh的HTTP标头检查，并显示扫描版本；不是旧的直接抓取接口。仅按明确HSTS及max-age判断，缺项为未知。不会确认preload清单、所有子域名/路径/重定向，不能证明网站整体安全。 参考来源
概览
了解工具能解决的问题、计算或处理逻辑，以及数据边界。
HTTPS 响应中的 Strict-Transport-Security 头用于声明 HSTS 策略。浏览器收到并处理该头后，会在 max-age 指定的秒数内记住该主机应使用安全连接；RFC 6797 说明，带有 includeSubDomains 时，该策略还覆盖这个主机名下的子域名。标准要求浏览器只处理通过安全传输收到的 HSTS 头。
这里的 max-age 是浏览器记住策略的持续秒数，并不是网站证书有效期，也不是网站未来可用时间。RFC 6797 的示例把31536000秒约作一年；实际策略应结合站点部署范围和维护计划设定。
输入域名后，页面请求该地址并跟随重定向，读取最终响应中是否存在 HSTS 头以及可解析的 max-age。结果卡显示“已启用/未启用”和解析出的 max-age 秒数，状态描述这次请求的最终响应。
例如max-age=86400表示浏览器策略时长为86400秒，换算后是24小时；这个数值描述记住策略的时间，不表示证书有效期。
指南
按步骤完成操作，并通过示例核对输入与结果。
在输入框填写主机名，例如 example.com；也可提交以 http:// 或 https:// 开头的完整地址。只填主机名时按 HTTPS 地址检查。
点击检测并等待结果。请求会跟随站点重定向；如果服务器不接受 HEAD 请求，检测会改用 GET 请求。
读取状态和 max-age 秒数。若显示未启用，可检查最终 HTTPS 响应是否包含 Strict-Transport-Security；若有头但 max-age 为0，需结合原始配置确认该策略是否被清除或字段是否可解析。
场景
查看这项工具在不同工作与生活流程中的用法。
网站管理员调整 HTTPS 或边缘网络配置后，可以提交主要站点域名，确认当前响应是否带有 HSTS 头并核对 max-age 的秒数。结果用于发现明显遗漏，再回到实际配置与响应头日志复核。
教师或开发团队可用一个公开测试域名观察字段是否出现、max-age 如何显示，并对照 RFC 理解浏览器策略记忆时长。练习时可把每次请求看到的字段与RFC条文逐项对照，区分策略时长和作用范围。
问答
集中解答高频疑问与容易混淆的问题。
max-age的值以秒计，说明用户代理收到并处理该安全响应头后，将该主机记为HSTS主机的持续时间。它不是TLS证书的有效期。
按RFC 6797，max-age=0表示用户代理停止把该主机视为已知HSTS主机，并清除该主机已有策略。该值仍然是一个具体头字段值，需与“有没有读到头”分开理解。
它表示策略除了适用于发送该头的主机名，也适用于其下级子域名。这个指令不改变max-age所表示的时间长度。
须知
使用前了解适用范围、结果限制与必要提醒。
检测结果取决于当次请求到达的主机和最终响应。CDN、负载均衡、重定向目标或 HEAD 与 GET 的响应差异，可能使结果和浏览器实际访问路径不完全相同。结果卡只展示字段状态和max-age，不展示完整响应头、includeSubDomains状态、重定向链、TLS证书或浏览器预加载名单；页面也不检查混合内容和其他安全头。HSTS规范要求通过安全传输接收的头才能作为策略处理，因此若显式提交HTTP地址且目标未跳转到HTTPS，单凭“检测到字段”不能证明浏览器会接受该策略。部署决策应检查完整配置，并从所需入口和子域名分别复核。
推荐
查找相关工具、专题与可用的 API 能力。
