Door Anoniem: Per website moet de header ingesteld worden, het configuratie bestand staat meestal in /etc/nginx/sites-available/. server { listen 443 ssl default deferred; ... # config to enable HSTS(HTTP Strict Transport Security) add_header Strict-Transport-Security "max-age=63072000; includeSubdomains;"; ... } De toevoeging van de includeSubDomains optie zorgt er voor dat de browser nu voor alle subdomeinen van de website ook via HTTPS wil verbinden. Het weglaten van deze optie voorkomt dat, maar is niet aan te raden. Info credits Networking4All Da's denk ik wat ik ook zei (maar dan iets meer info)...maar nu voor nginx als http engine :-) Door Anoniem: Bij gebruik van HSTS krijg je geen melding of zo vanuit de browser; als je naar de http versie gaat terwijl er een HSTS header is gezet plakt je browser zelf de 's' er achter en gaat naar de https versie. Je ziet hier als gebruiker verder niks van behalve dat de url is omgezet naar https. Weet je dus zeker dat je op de http versie zit? De URL ...