HSTS

安全標頭怎麼選：哪些仍然需要、哪些已經過時、哪些反而有害

標頭不是越多越好。請分成三組：仍然有效的（CSP、HSTS、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy）、已經過時的（Expect-CT 自 2021 年 6 月起大致已無作用），以及實際有害的（MDN 把 X-XSS-Protection 標為已棄用且非標準，並警告它可能在原本安全的網站上製造 XSS 漏洞）。照抄過時的清單，會把有害的設定和好的設定一起帶進來。