为何HSTS设置max-age=77777777被检测为仅1秒？

核心原因分析 #

• 头字段解析失败
  第三方检测工具显示max-age=1，通常是服务器输出的Strict-Transport-Security头存在语法错误，导致工具解析异常后 fallback 到默认值。常见问题包括：

  • 格式错误：max-age=77777777前后多了空格、多余符号，或者同时输出多个HSTS头，工具无法识别有效值时会取最低默认值。
  • 配置范围不匹配：你可能仅在特定路径配置了正确的max-age，但检测工具请求的根路径（/）对应的HSTS头配置有误。

• 配置未实际生效
  服务器修改HSTS配置后需重启服务才能生效，如果没重启，依然会输出旧配置；另外CDN或反向代理的缓存会导致新配置无法实时生效，检测工具拿到的还是旧的响应头。

• 关于重复数字的压缩优化
  选择77777777来提升HTTP头压缩效率的思路是合理的，重复字符在Gzip/Brotli压缩时能获得更高压缩比，只要头字段格式正确，不会影响正常解析。

排查步骤 #

1. 用浏览器开发者工具的Network面板，直接查看请求根路径返回的Strict-Transport-Security头内容，确认服务器实际输出的配置是否正确，不要仅依赖第三方工具。
2. 检查服务器配置文件的语法：
   • Nginx配置示例：add_header Strict-Transport-Security "max-age=77777777; includeSubDomains" always;，注意引号、分号位置，无多余空格。
   • Apache配置示例：Header always set Strict-Transport-Security "max-age=77777777; includeSubDomains"。
3. 重启服务器并清空CDN/反向代理的缓存，再次用工具和浏览器验证。
4. 若使用多节点服务器，确保所有节点的HSTS配置已同步更新。

内容的提问来源于stack exchange，提问作者mike_s