Door Anoniem: Door Anoniem: Zucht: Hoe moeilijk is het voor Google om de adviezen van de mensen te volgen die het project onderhouden. Hier hebben we de preload header juist voor Google moet zich hier niet mee bemoeien. Ze (Chrome team) doen iets anders nu. Wat ze doen is goed: https by default en als je niet op de preload list staat is terugvallen een optie. Dat voorkomt veel aanvalsmogelijkheden op sites die hsts helemaal niet inzetten (statistieken heb ik niet, maar kan me voorstellen dat dat er heel veel zijn). Uiteindelijk wil je van HSTS af natuurlijk: gewoon alles https. By default versleutelde verbindingen. Nu nog DANE en betere certificaten erop (die ook worden getoond) dat je ook kunt checken of je echt op de site bent aangekomen waar je naar toe wilde. Het punt is dat Google HSTS als makkelijk paradepaardje beschouwd in plaats dat we gewoon https gaan forceren op al het verkeer en kappen met http only toelaten. Tussen oplossing voor iets waar iedereen in de tech industrie al decenia weet dat ...