Gerador de Cabeçalho para Preload HSTS
Gere um cabeçalho de resposta Strict-Transport-Security (HSTS) a partir de max-age, includeSubDomains e preload, e verifique se ele atende aos requisitos de envio à lista de preload do hstspreload.org.
Entrada
Por quanto tempo (em segundos) os navegadores devem usar apenas HTTPS. O envio para preload exige pelo menos 31536000 (1 ano).
Saída
Cole isto na configuração de cabeçalhos de resposta do seu servidor.
Se o cabeçalho atende aos requisitos de diretivas do hstspreload.org.
Mais formas de usar esta ferramenta
API REST
curl -X POST https://api.iotools.cloud/v1/tool/hsts-preload-header-generator \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"maxAge": "31536000",
"includeSubDomains": "true",
"preload": "true"
}'Troque pela sua própria chave, da sua conta. Os campos da ferramenta viram o corpo da requisição — sem envelope.
Peça a um agente de IA
Use the IOTools `hsts-preload-header-generator` tool (HSTS Preload Header Generator) on this input:
YOUR_INPUT_HERECole isto em qualquer agente conectado ao servidor MCP do IOTools e depois adicione sua entrada.
Widget para incorporar
<iframe
src="https://iotools.cloud/embed/hsts-preload-header-generator/"
width="100%" height="520" frameborder="0" scrolling="no" loading="lazy"
title="Gerador de Cabeçalho para Preload HSTS — iotools.cloud"
sandbox="allow-scripts allow-forms allow-same-origin allow-downloads allow-popups allow-popups-to-escape-sandbox"
allow="clipboard-write"
style="width:100%;border:1px solid #e5e7eb;border-radius:12px;overflow:hidden"></iframe>
<script src="https://iotools.cloud/embed.js" async></script>Coloque isso na sua própria página — grátis, sem chave, só um link de volta.
| Custo por chamada de API/MCP | A partir de 5 créditos |
|---|---|
| Precisa de mais créditos? | Ver preços |
Também disponível via
Guias
O Gerador de Cabeçalho para Preload HSTS cria um cabeçalho HTTP de resposta Strict-Transport-Security corretamente formatado e informa, em tempo real, se o resultado se qualifica para a lista de preload dos navegadores em hstspreload.org. Defina um max-age, ative includeSubDomains e preload e copie o cabeçalho diretamente para a configuração do seu servidor.
O que é HSTS?
HTTP Strict Transport Security (HSTS), definido na RFC 6797, é um cabeçalho de resposta que instrui os navegadores a se conectarem ao seu site somente por HTTPS. Depois que um navegador recebe o cabeçalho Strict-Transport-Security, ele recusa conexões HTTP simples para esse host pelo período de max-age — reescrevendo automaticamente requisições http:// para https:// antes de saírem da máquina. Isso bloqueia ataques de downgrade de protocolo, SSL-stripping e sequestro de cookies em conexões inseguras.
O que é o preload do HSTS?
Mesmo com HSTS ativado, a primeira visita de um usuário — antes de qualquer cabeçalho ser recebido — ainda pode trafegar por HTTP, deixando uma pequena janela para ataques. O preload fecha essa lacuna. Domínios na lista de preload do HSTS são fixados no código do Chrome, Firefox, Safari, Edge e outros navegadores, então são tratados como somente HTTPS desde a primeira requisição, sem necessidade de visita anterior.
Como usar a ferramenta
- Informe um
max-ageem segundos. O padrão,31536000, equivale a um ano — o mínimo aceito para o preload. - Marque
includeSubDomainspara estender a política a todos os subdomínios. - Marque
preloadpara indicar o domínio como candidato à lista de preload. - Copie o cabeçalho gerado na caixa de saída e adicione-o à configuração do seu servidor web ou aplicação.
O painel Elegibilidade para Preload verifica suas diretivas em relação às regras de envio e sinaliza o que estiver faltando.
Referência de diretivas
max-age=<segundos>— obrigatória. Por quanto tempo os navegadores aplicam HTTPS somente para o host.includeSubDomains— opcional, mas obrigatória para o preload. Aplica a política a todos os subdomínios.preload— sinaliza o consentimento para ser incluído nas listas de preload dos navegadores.
Quais são os requisitos do hstspreload.org?
Para ser aceito, o cabeçalho deve definir max-age com pelo menos 31536000 (um ano) e incluir includeSubDomains e preload. Além disso, o site deve servir um certificado HTTPS válido e redirecionar todo o tráfego HTTP para HTTPS no mesmo host. A ferramenta verifica os requisitos de diretivas; os requisitos de certificado e redirecionamento devem ser confirmados no seu próprio servidor.
O preload é reversível?
Não com facilidade. Pedidos de remoção podem levar meses para se propagar pelas versões dos navegadores e, durante esse período, o navegador recusará qualquer fallback para HTTP. Envie um domínio para o preload somente depois que todos os subdomínios forem servidos de forma confiável por HTTPS.
Qual max-age devo usar?
Comece com um max-age curto (alguns minutos ou horas) durante os testes, para que erros expirem rapidamente. Quando tiver certeza de que todos os recursos funcionam por HTTPS, aumente para um ano (31536000) ou dois anos (63072000) e adicione preload.
A ferramenta envia meu domínio?
Não. Tudo roda no seu navegador — a ferramenta apenas monta a string do cabeçalho e verifica as diretivas. Envie o domínio você mesmo em hstspreload.org quando o seu servidor estiver pronto.