HTTPS

用 Nginx 配置安全响应头的时候，很多人会遇到 add_header 指令明明写了，浏览器却看不到对应头部的奇怪现象。归根结底，大多数情况下是 always 参数没加、配置位置写错了，或者和代理场景产生了冲突。今天这篇文章把 always 参数不生效的 5 个最常见原因逐一拆解，并给出对应的修复方案。 一、always参数到底是什么 Nginx 的 add_header 指令默认只在请求返回正常状态码（2xx、3xx）时才会把响应头加进去。如果你想让错误页面（4xx、...

为什么要用curl检查HSTS max-age值 HSTS（HTTP Strict Transport Security）是网站安全的重要防线，而max-age值决定了浏览器在多长时间内强制使用HTTPS访问你的站点。max-age设得太短，安全效果打折；设得太长，配置出错后难以撤销。用curl检查Strict-Transport-Security头的max-age值，是最直接、最快速的验证手段——无需打开浏览器，一条命令就能确认HSTS是否正确配置。 一、curl -sI...

为什么要用curl验证HSTS 配置了HSTS（HTTP Strict Transport Security）之后，最关键的一步就是验证它是否真的生效。很多人配完Nginx就直接完事了，结果浏览器访问时发现Strict-Transport-Security响应头根本没出现，或者max-age值不对，等于白配。用curl验证是最直接、最可靠的方式——不依赖浏览器缓存，不受HSTS preload列表干扰，能看到服务器返回的原始响应头。 命令一：基础检查——直接看响应头 最简单...

HSTS max-age 到底是什么 HSTS（HTTP Strict Transport Security）是网站安全的重要一环，而 max-age 参数则是整个策略的核心——设错了，要么浏览器根本不记，要么记了没法改。本文整理了6个 Nginx HSTS max-age 设置时最常见的错误，逐一给出排查方法和正确配置。 max-age 告诉浏览器：在多少秒内，访问这个域名时必须使用 HTTPS。比如 max-age=31536000 就是一年。这个参数有几个关键点： 单...

前言：为什么 max-age 不能一上来就设两年 HSTS（HTTP Strict Transport Security）的 max-age 参数决定浏览器记住"强制 HTTPS"指令的时间。设短了，安全效果打折扣；设长了，一旦证书或 HTTPS 配置出问题，用户在有效期内无法访问你的网站。 很多教程上来就让你直接设 max-age=63072000（两年），这是 HSTS preload 的提交要求，不是你第一天就该用的值。 正确的做法：分阶段切换，从短到长，每一步都验证无...

HSTS preload 的 max-age 要求到底是什么？ HSTS（HTTP Strict Transport Security）preload 是浏览器内置的一个机制，让支持 HTTPS 的网站在用户第一次访问时就能强制走 HTTPS，而不需要先经历一次 HTTP 到 HTTPS 的跳转。 在提交到 hstspreload.org 时，官方对 Strict-Transport-Security 响应头有一个硬性要求： max-age 必须 ≥ 31536000（1年）...

先说结论：浏览器什么时候开始"记住"HSTS？ 很多教程只告诉你"配置HSTS"，但没说清楚浏览器到底什么时候开始强制执行HTTPS。这里直接给结论： 浏览器在第一次收到Strict-Transport-Security响应头之后，就会立即将域名加入HSTS列表，不需要等待max-age秒。 max-age的含义是：记住这个策略的有效期有多长，而不是"多少秒之后才开始生效"。 举个例子：你配置max-age=31536000（一年），用户第一次访问你的HTTPS网站，响应...

什么是ERR_TOO_MANY_REDIRECTS错误？ 当你在浏览器中访问网站时，如果页面不断跳转、始终无法加载，最终浏览器会弹出如下错误提示： ERR_TOO_MANY_REDIRECTS 此网页包含重定向循环 这意味着你的请求在服务器之间被反复跳转，形成了一个死循环。浏览器的重定向次数有上限（Chrome通常是20次），一旦超过就强制终止请求并报错。 在Nginx环境下，这个问题非常常见，尤其是在配置HTTP跳转HTTPS、CDN回源、多域名绑定等场景中。本文总结了7个...

问题现象：CDN跳转后参数不见了 很多站长遇到过这种情况：源站Nginx配置明明正确，但用户从HTTP访问时，UTM参数、分页参数?page=2、搜索关键词?q=xxx全都不见了。根本原因是CDN层的跳转配置没有正确传递查询字符串，而不是源站的问题。 排查这类问题要分三层：CDN边缘节点跳转 → CDN回源请求 → 源站Nginx处理。任何一层出问题，参数都会丢失。 陷阱一：CDN默认301跳转不附带查询参数 大部分CDN（阿里云、腾讯云、Cloudflare）的"HTTP...

什么是HSTS max-age？ HSTS（HTTP Strict Transport Security）通过Strict-Transport-Security响应头告诉浏览器：在未来一段时间内，这个域名只允许通过HTTPS访问。 其中max-age参数就是那个"一段时间"，单位是秒。比如： [代码示例已省略，请参考正文] 意思是：接下来31536000秒（1年）内，浏览器都必须用HTTPS访问这个域名。 max-age设置为0到底会发生什么？ 把max-age设置为0，本...