谷歌如何在其.app顶级域名（TLD）强制启用HTTPS？

好问题！你说得没错，DNS本身确实只负责把域名映射到IP地址，不直接管协议层面的强制。但谷歌是通过浏览器端的全局策略+域名注册生态的规则约束，双管齐下实现了.app域名必须用HTTPS访问的要求，咱们拆解来看：

• HSTS预加载列表全局锁定
  谷歌直接把整个.app顶级域名加入了主流浏览器的HSTS（HTTP Strict Transport Security）预加载列表，并且设置了includeSubDomains和preload两个关键参数。这意味着：

  • 所有支持HSTS预加载的浏览器（Chrome、Firefox、Safari、Edge等），在访问任何.app域名（包括所有子域名）时，根本不会发起HTTP请求，浏览器内部会直接自动转换成HTTPS请求发送。
  • 哪怕你手动输入http://example.app，浏览器也会跳过HTTP步骤，直接请求https://example.app，从源头上杜绝了未加密的HTTP流量。

• 域名注册时的证书强制要求
  作为.app域名的官方管理机构，谷歌在域名注册和解析环节加了约束：所有.app域名必须配置有效的SSL/TLS证书才能正常提供服务。如果域名没有正确部署证书，浏览器在发起HTTPS请求时会直接抛出安全错误，用户无法访问，从准入层面确保了HTTPS的必要性。

• 兜底的HTTP跳转机制
  就算遇到极端情况（比如某些老旧浏览器没更新预加载列表），当用户意外发起HTTP请求到.app域名时，谷歌的边缘服务器会立即返回301 Moved Permanently重定向，把请求强制转到对应的HTTPS地址，作为最后一道防线保证流量加密。

简单来说，谷歌没有修改DNS的基本功能，而是借助浏览器的安全策略和自身作为域名管理方的权限，从访问入口和域名准入两个维度，把HTTPS变成了.app域名的唯一可行访问方式。

内容的提问来源于stack exchange，提问作者Hristo Kolev