用途：当需要审查任何通过 HTTPS 提供内容的网站的 HTTP 响应头时使用本技能，重点确认服务器是否在所有 HTTPS 响应中发送 HSTS 头，防止同网络攻击者拦截首个 HTTP 请求并剥离 TLS（SSL 剥离），在浏览器看到重定向之前静默降级连接。
主要能力：检查服务器是否在所有 HTTPS 响应中发送 Strict-Transport-Security 头，并核实 max-age、includeSubDomains 与 preload 指令是否适当；给出修复方式，即在所有 HTTPS 响应中添加该头，配置 Web 服务器或 CDN 发送，并通过 curl 或 securityheaders.com 验证；解释 HSTS 是什么、如何防止 SSL 剥离、各指令作用以及 preload 为何需谨慎；在代码审查中检查服务器配置、响应头、表单及相关集成点，标记违反规则的具体响应、Cookie 或浏览器行为，并与生产环境实际响应核对。
用法要点：在所有 HTTPS 响应上设置 Strict-Transport-Security: max-age=31536000; includeSubDomains；max-age 至少使用 31536000（1 年），HSTS 预加载要求至少 1 年；添加 includeSubDomains 保护所有子域免受降级攻击；仅在测试后添加 preload，因为难以撤销且需要数周传播；绝不要通过纯 HTTP 发送 HSTS 头，只能通过 HTTPS。
限制：完整实现细节、代码示例与框架特定指导见 references/rule.md，规则页为 https://frontendchecklist.io/en/rules/security/hsts。资料未提供收费、价格或平台信息。