網站沒有傳送 HSTS 標頭，而這個標頭會告訴瀏覽器對該網站一律使用 HTTPS。少了它，訪客的第一個請求可能會透過一般 HTTP 傳送，因而可能遭到攔截，例如在公共 Wi-Fi 上。
這代表什麼
HSTS（HTTP Strict Transport Security）是一種回應標頭，例如 Strict-Transport-Security: max-age=31536000。瀏覽器一旦看到它，就會在指定的秒數內對這個網站一律使用 HTTPS，即使使用者輸入或點擊的是 http:// 網址也一樣。
觸發條件
「安全標頭」檢查每週會透過 HTTPS 載入一次首頁。如果沒有 max-age 大於零的 Strict-Transport-Security 標頭，就會提出這個「中」問題。此問題只顯示在應用程式中，不會寄送電子郵件。
HSTS 也是安全標頭評分所檢查的六個標頭之一。請參閱 安全標頭不足。
常見原因
- 網頁伺服器、主機方案或 CDN 預設不會傳送它。
- 網站改用 HTTPS 時遺漏了它，之後也一直沒有加上。
- 它以 max-age=0 傳送，等於關閉了 HSTS。
如何修正
- 確保整個網站都能透過 HTTPS 運作，且一般 HTTP 會重新導向到 HTTPS。請參閱 HTTPS 設定不正確。
- 在網頁伺服器、CDN 或主機設定中加入 Strict-Transport-Security: max-age=31536000。以 Cloudflare 為例，此設定位於 SSL/TLS → Edge Certificates。
- 只有在每個子網域都能透過 HTTPS 運作後，才加入 includeSubDomains 或 preload，因為瀏覽器屆時也會拒絕以一般 HTTP 連線到這些子網域，而且預先載入很難撤銷。
何時解除
這項檢查每週執行一次，因此問題會在下一次每週檢查不再發現問題時消失，其行動則會在 7 天後從行動計畫中移除。
如果你將行動標記為完成，但 14 天後仍發現問題，它會以「修正未生效」重新出現。請參閱 使用行動計畫。