Door PDberlin: Dat leidt bij gebruik van HSTS tot een extra redirect (http > https > https://www) omdat van http naar https://www niet mogelijk is. Voor alle duidelijkheid: dat laatste is wel mogelijk, maar onverstandig (omdat dit de voordelen van HSTS voor bezoekers teniet doet). Ik heb het e.e.a. geprobeerd uit te leggen in o.a. https://www.security.nl/posting/802243/Steekproef%3A+overheid+%2B+HSTS. Door PDberlin: Is er een ontwikkeling om www niet meer te gebruiken, zijn hier adviezen over? Er zijn een stel niet altijd duidelijke afwegingen die je moet maken, vooral bij grotere organisaties. Denk maar aan google.com, met subdomein sites.google.com waar user-content op staat. Als er de een of andere "policy" bestaat die wordt ingesteld voor google.com, die automatisch geldt voor subdomeinen, kan dat ongewenste gevolgen hebben. Eén voorbeeld is "includeSubdomains" bij HSTS. Indien je jouw website op example.nl wilt zetten, en je daar HSTS met "includeSubdomains" voor configureert, kun je geen "legacy" ...