example.com

Til að bætast á listann sendið Strict-Transport-Security: max-age=63072000; includeSubDomains; preload á aðalslóðinni, látið venjulegt HTTP vísa beint á HTTPS á sömu slóð, athugið öll undirlén og skráið svo lénið á hstspreload.org. Til að fara af listanum fjarlægið preload úr hausnum og óskið eftir brottfellingu á hstspreload.org/removal. Vafrar fella færsluna út í síðari útgáfum sínum, sem tekur marga mánuði.

Preload-skráning setur lénið ykkar á lista sem er innbyggður í vafra. Þeir nota þá HTTPS fyrir lénið og öll undirlén frá fyrstu heimsókn, áður en þeir hafa séð HSTS-hausinn ykkar. Þetta er nánast óafturkræf skuldbinding: öll undirlén, líka gömul og innri, verða að bjóða upp á HTTPS og það tekur marga mánuði að fara af listanum. Þetta er aðeins til upplýsingar og hefur ekki áhrif á stigin.

status: unknown
errors:
  response.no_header
  redirects.http.no_redirect
cache: {"status":"hit","fetchedAt":"2026-10-23T11:01:47.968Z","source":"hstspreload"}

Sendið ekki hausinn eða sendið X-XSS-Protection: 0. Verjist XSS með Content-Security-Policy í staðinn.

X-XSS-Protection kveikti á XSS-síu í gömlum vöfrum. Vafrar hafa fjarlægt þessa síu og MDN merkir hausinn sem úreltan og vísar á Content-Security-Policy í staðinn. OWASP HTTP Headers Cheat Sheet mælir með því að setja hausinn ekki eða slökkva á honum, því gamla sían getur búið til XSS-veikleika á annars öruggum vefjum. Þetta er aðeins til upplýsingar og hefur ekki áhrif á stigin.

Flestir vefir þurfa hann ekki. Til að kveikja á einangrun milli uppruna (ásamt Cross-Origin-Opener-Policy: same-origin) gætið fyrst að því að öll innfelld tilföng þriðja aðila leyfi það, með Cross-Origin-Resource-Policy eða CORS. Prófið með Cross-Origin-Embedder-Policy-Report-Only og sendið svo Cross-Origin-Embedder-Policy: require-corp.

Cross-Origin-Embedder-Policy er aðeins nauðsynlegur fyrir einangrun milli uppruna (cross-origin isolation), sem sumir eiginleikar vafra, eins og SharedArrayBuffer og nákvæmir tímamælar, krefjast. Með require-corp hleður vafrinn aðeins tilföngum frá öðrum uppruna ef þau leyfa það, svo vefur sem hefur ekki verið undirbúinn getur bilað. MDN lýsir hausnum. OWASP HTTP Headers Cheat Sheet mælir með require-corp og varar við því að það loki á tilföng frá öðrum uppruna sem eru ekki rétt stillt. Þetta er aðeins til upplýsingar og hefur ekki áhrif á stigin.

Ekkert þarf að gera. Til að stöðva uppflettingarnar sendið X-DNS-Prefetch-Control: off.

X-DNS-Prefetch-Control segir vafranum hvort hann eigi að fletta upp lénum tengla á síðunni áður en gestur smellir á þá. Hausinn er ekki staðlaður. MDN lýsir honum. OWASP HTTP Headers Cheat Sheet segir að sjálfgefin hegðun vafra henti flestum vefjum og mælir aðeins með off ef þið stjórnið ekki tenglum á vefnum ykkar. Þetta er aðeins til upplýsingar og hefur ekki áhrif á stigin.