HSTS preload移除要多久？从申请到退出的完整时间线

什么是HSTS Preload列表

HSTS（HTTP Strict Transport Security）preload列表是一个硬编码在浏览器中的域名列表。浏览器在第一次访问这些域名时，就会强制使用HTTPS连接。

这个列表由 hstspreload.org 维护，提交通过后，谷歌会将你的域名打包进Chrome的下一个版本。

移除preload的完整时间线

直接说结论：从你提交移除申请，到所有用户浏览器都不再强制HSTS，通常需要2~4个月。

第一步：提交移除申请（1~7天）

登录 hstspreload.org/removal/，填写域名和移除原因。审核通常1~7天内完成。

第二步：Chrome发布新版本（6~8周）

Chrome的preload列表是硬编码在浏览器里的。谷歌大约每6~8周发布一个大版本。你的域名需要等到包含这次移除的Chrome版本发布。

第三步：用户浏览器更新（额外2~8周）

Chrome发布新版本后，用户不一定马上更新。这意味着即使Chrome正式发布了移除版本，仍有部分用户在使用旧版本。

加速移除？没戏

很多人问：能不能联系谷歌加急处理？答案是不能。preload列表的更新机制决定了这个时间窗口是硬性的。

移除期间你需要做什么

1. 移除响应头中的HSTS header

add_header Strict-Transport-Security "max-age=0; includeSubDomains" always;

2. 通知用户清除HSTS缓存（Chrome）

1. 地址栏输入 chrome://net-internals/#hsts
2. 在"Delete domain security policies"下方输入域名
3. 点击"Delete"

3. 确保HTTP访问正常

确保80端口的HTTP服务正常响应，且不是302跳转到HTTPS。

提交preload之前，先想清楚

• 你的域名是否永久需要HTTPS强制？
• 所有子域名是否都支持HTTPS？
• 你是否掌控了证书续期？

相关文章

• Nginx HSTS预加载列表申请教程
• Nginx HSTS配置错误排查
• 如何验证HSTS是否生效