Crie um valor de cabeçalho HSTS com max-age e preload

Este gerador de valor de cabeçalho HSTS transforma uma duração em segundos e duas opções booleanas claras em um valor Strict-Transport-Security ordenado corretamente. Ele sempre começa com a diretiva obrigatória max-age e só acrescenta includeSubDomains e preload quando você solicita. Durações negativas e tipos de campo incorretos são rejeitados, em vez de virarem uma configuração aparentemente plausível que não representa a política desejada.

Escolha max-age como uma duração de política consciente

Este gerador recebe a duração como um inteiro não negativo e a escreve como primeira diretiva, sem notação exponencial, arredondamento ou unidade adicional. O valor zero é válido e costuma ser usado para pedir aos navegadores que removam uma política HSTS armazenada anteriormente. Valores positivos mantêm a política ativa até o término do prazo lembrado ou até que uma nova resposta válida a substitua.

Escolha o número conforme seu processo de implantação e seu plano de reversão, e não como mero detalhe de formatação. A ferramenta rejeita valores fracionários, ausentes, não numéricos e negativos porque eles não representam com segurança a diretiva obrigatória em segundos inteiros.

Entenda o alcance de includeSubDomains e preload

Faça um inventário das zonas DNS delegadas e dos serviços administrados de forma independente antes de ativá-la. O token preload é diferente: ele manifesta uma intenção ligada aos programas de pré-carregamento dos navegadores, mas adicionar a palavra não envia um domínio, não garante aceitação nem altera imediatamente uma lista. Esses programas possuem requisitos atuais próprios para inclusão e remoção, que você deve consultar separadamente.

O gerador permite cada opção de forma independente porque seu trabalho é construir o cabeçalho de maneira determinística, e não impor a política de um programa específico. Quando selecionados, os tokens usam a grafia convencional e aparecem depois de max-age em ordem estável. Quando omitidos ou falsos, não aparecem.

Essa ordem facilita revisões, testes de referência e comparações de infraestrutura gerada.

Implante e verifique o valor gerado com segurança

Copie o valor retornado para o cabeçalho de resposta Strict-Transport-Security, em vez de tratá-lo como uma linha de cabeçalho completa. A configuração do servidor web normalmente oferece um campo para o nome e outro para o valor. Teste a resposta final na borda pública, pois o código da aplicação, um proxy, uma rede de distribuição ou o painel de hospedagem pode substituir, duplicar ou remover o cabeçalho.

Uma implantação gradual pode começar com uma duração positiva curta, seguida de monitoramento e aumento planejado quando todos os hosts relevantes demonstrarem confiabilidade. Se includeSubDomains estiver ativo, teste hosts aninhados representativos. Se preload estiver ativo, confirme separadamente os requisitos do programa antes de enviar o domínio.

A função é pura e determinística: entradas idênticas sempre geram a mesma string, nenhuma solicitação sai do ambiente e nenhuma configuração é armazenada.