Cloudflareで保護されているアプリケーションがあります。アプリケーションは、HTTPステータス403 Forbiddenおよび302 Moved Temporarilyを除く他のすべてのページでHSTSで応答します。 Cloudflareが原因であるようです。 HSTSが適用されていないリソース(JS)もありますが、それはこの質問には関係ありません。
私の直感では、可能性は低いですが、誰かがURLを誤って入力して禁止を引き起こしたため、すべてのページ(およびリソース)にHSTSが必要であると述べています。sslstripのような攻撃に対して脆弱です。
それは良くなく、修正されるべきですが、あなたが思うほど悪くはないでしょう。 HSTSはdomainsに適用されるため、1つの応答にStrict-Transport-Security
ヘッダーが含まれるとすぐに、ブラウザーはすべての要求を強制的にHTTPSにリダイレクトし、ドメイン(および、構成によってはサブドメイン)。
JavaScriptやCSSなどのリソースは、エンドユーザーが直接アクセスしたとしてもめったにないため、これらのリソースが要求される前にHSTSヘッダーを受信する必要があります。
MitMがあり、ユーザーが以前にサイトにアクセスしたことがなく(またはHSTSヘッダーのmax-ageが経過した)、サイトが preload list にない場合、サイトは表示されません。一部の応答に含まれているものと含まれていないものがあります。 MitMはどちらの方法でもssl-stripを使用できます。 HSTSが機能するのは、ブラウザーがそれを認識した後のみです。HTTP経由で初めてサイトにアクセスする場合、プリロードリストにない限り、脆弱です。