很多人在配置完HSTS之后，访问网站发现浏览器还是走HTTP。这是一件很让人困惑的事情——明明已经在服务器上配置了Strict-Transport-Security响应头，为什么没有生效？
这篇文章就来说清楚这个问题，从5个方向系统排查，帮你找出真正的原因。
1. 确认HSTS响应头是否真正返回
第一步，先确认服务器真的返回了HSTS头。你可以用curl命令检查：
curl -I https://your-domain.com看响应头中是否包含Strict-Transport-Security字段。如果没有，检查nginx配置是否正确加载。常见的错误是配置放在了错误的server块里，或者location块没有被匹配到。
另一个容易忽略的地方是：如果你的网站有多个server块（比如泛解析和主域名分别配置），HSTS头可能只在其中一个块里生效。
2. 检查add_header的继承规则
在Nginx中，add_header指令有继承规则。如果你在一个server块里没有直接定义某个响应头，但location块里定义了，那么其他location块可能继承不到。
具体来说：
- 如果location块没有定义add_header，继承父级的
- 如果location块自己定义了add_header，父级的全部不生效
- 只有加了
always参数，HSTS头才会出现在所有响应里
所以如果你的HSTS配置在location块里但没有加always，可能只在特定路径下生效。
3. 排查HSTS缓存问题
这可能是最常见的原因。如果用户之前访问过你的网站（那时候还没有HSTS），浏览器已经把这个域名的HTTP策略缓存了。即使你现在配置了HSTS，浏览器可能还在用旧的缓存。
这种情况下，你需要让用户手动清除HSTS缓存。在Chrome里可以访问：
chrome://net-internals/#hsts找到"Delete domain security policies"，输入你的域名删除。
或者等待浏览器自动刷新——浏览器的HSTS缓存会根据max-age参数定期刷新，但这个过程可能需要几个小时。
4. 排查混合内容问题
如果你的页面里加载了HTTP资源（比如图片、JS、CSS），浏览器会出于安全考虑降级到HTTP。这种情况下，即使HSTS配置正确，浏览器也会走HTTP。
检查方法很简单：打开浏览器的开发者工具，切换到Network标签，看看请求列表里有没有HTTP的资源链接。把这些资源全部改成HTTPS。
如果你的网站使用了CDN或者第三方资源，确保这些资源都支持HTTPS访问。
5. 检查是否有重定向循环
有时候问题出在重定向配置上。如果HTTP到HTTPS的重定向和HSTS配置产生了循环，浏览器会因为检测到循环而放弃加密连接。
检查nginx里是否有类似这样的冲突配置：
- HTTP server块配置了强制跳转到HTTPS
- HTTPS server块也配置了跳回HTTP
- 或者HSTS配置了过短的max-age导致频繁重定向
正确的做法是：HTTP server块做301重定向到HTTPS，HTTPS server块配置HSTS头，两个配置各司其职，不要互相干扰。
总结
HSTS配置后浏览器仍然走HTTP的常见原因总结：
- 响应头没有真正返回——检查nginx配置是否生效
- add_header继承问题——确保在正确的层级配置且加了always参数
- 浏览器缓存了旧的HSTS策略——手动清除或者等待
- 页面存在混合内容——所有资源链接改为HTTPS
- 重定向循环——检查配置是否冲突
如果你排查完还是不行，可以先用一个测试域名单独验证HSTS是否生效，排除其他干扰因素。
相关推荐
版权声明
本文仅代表个人观点。
本文系AI辅助作者原创，未经许可，转载请保留原文链接。
发表评论