Shopify 站点要不要开 HSTS

现象#

安全扫描建议开启 HSTS，但担心开启后无法回退到 HTTP，影响内部测试环境。

原因#

• HSTS 一旦下发，浏览器会在有效期内强制 HTTPS
• Shopify 默认已全站 HTTPS，HSTS 主要防降级攻击
• includeSubDomains 会影响所有子域，包括未启用 HTTPS 的

处理步骤#

1. 先在 theme.liquid 或响应头加 Strict-Transport-Security: max-age=3600 短周期测试
2. 确认所有子域都支持 HTTPS 后再加 includeSubDomains
3. 逐步提高 max-age 到一年
4. 提交 preload 列表前评估退出成本，preload 移除需要数月

验收标准#

响应头包含 HSTS，HTTP 请求自动跳转 HTTPS，子域访问正常无证书错误。