HSTS는 기억한 호스트의 이후 접속을 HTTPS로 하게 합니다
Strict-Transport-Security는 브라우저에 해당 호스트를 HTTPS로만 접근하도록 알립니다. 적용된 향후 연결에서는 인증서 오류 같은 보안 오류를 사용자가 우회하지 못하게 합니다. 페이지 본문의 사실성·회원 권한·악성 여부를 판정하는 정책은 아닙니다. 근거: MDN HSTS, 2026-11-04.
근거: MDN Strict-Transport-Security · 2026-11-04 확인
기간과 하위도메인 범위가 운영 조건을 바꿉니다
max-age는 브라우저가 정책을 기억할 초 수이고 includeSubDomains는 하위도메인에도 범위를 넓힙니다. 가상의 대표 사이트는 HTTPS인데 오래된 하위 서비스가 HTTP만 제공한다면 범위를 넓히기 전에 그 서비스 조건을 검토해야 합니다. 이 예는 실제 도메인 진단이 아닙니다. 다른 사이트에서 본 큰 숫자와 preload 옵션을 그대로 복사해 적용할 문제로 취급하지 않습니다.
근거: MDN Strict-Transport-Security · 2026-11-04 확인
검토는 호스트 목록과 인증서 운영에서 시작합니다
자신이 관리하는 호스트와 하위 서비스, HTTPS 제공 여부·인증서 갱신·운영 담당자를 정리합니다. 담당자 승인 아래 테스트 환경에서 응답 헤더와 적용 범위를 확인합니다. 현재 응답을 받았다는 관찰과 브라우저가 이후 HTTP를 어떻게 바꾸는지는 나눠 시험합니다. 기존에 기억된 정책이 결과에 영향을 줄 수 있으므로 시험 브라우저 상태도 기록합니다.
근거: MDN Strict-Transport-Security · 2026-11-04 확인
헤더를 지우면 즉시 모든 브라우저에서 해제되는 것은 아닙니다
이전에 받은 정책은 만료까지 남을 수 있습니다. max-age=0을 쓰는 해제도 브라우저가 정상 보안 응답으로 해당 값을 받아야 하는 조건이 있으며 HTTP로 해제하는 방법은 아닙니다. 하위도메인의 별도 정책이나 preload는 추가 조건이 있으므로 운영 장애에서 임의 해제를 시도하기보다 공식 운영 절차를 따릅니다.
성공은 HTTPS 접근과 필수 기능의 지속 동작을 확인합니다
대표 페이지뿐 아니라 범위에 포함한 서비스의 인증서·로그인·자원 로드를 승인된 조건에서 봅니다. 오류가 나면 인증서 우회를 안내하지 말고 주소·발생 시각·정책 범위를 담당자에게 전달합니다. HSTS 헤더 존재를 전체 보안 완료로 보고하지 않습니다. 이 글에서는 도메인 설정이나 브라우저 정책을 바꾸지 않았고 검증 성공 결과를 제시하지 않습니다.
원문으로 이어 읽기
확인일: 2026-11-04. 정의와 적용 범위, 발행일과 판본을 함께 살펴봅니다. 원문이 존재한다는 사실만으로 개별 주장의 정확성과 재사용 권리가 자동 보장되지는 않습니다.