Nginx HTTP Strict Transport Security или принудительный https

[confguru]

Коллеги столкнулись с проблемой когда захотели ввести принудительный https на сайте http://devconf.ru/

add_header Strict-Transport-Security "max-age=15768000";
add_header Content-Security-Policy-Report-Only "default-src https:; script-src https: 'unsafe-eval' 'unsafe-inline'; style-src https: 'unsafe-inline'; img-src https: data:; font-src https: data:; report-uri /csp-report";

Вылечилось только

add_header Strict-Transport-Security "max-age=0";
#add_header Content-Security-Policy-Report-Only "default-src https:; script-src https: 'unsafe-eval' 'unsafe-inline'; style-src https: 'unsafe-inline'; img-src https: data:; font-src https: data:; report-uri /csp-report";

Браузеры хранят эту настройку где-то глубоко внутри - так что осторожней с этой опцией!

 

[MiksIr]

Так в чем проблема то была?

 

[confguru]

Не убирался из браузеров тех кто туда зашел и поймал этот хеадер (куки чистили не помогало)
Пока не выставили его в 0

 

[MiksIr]

А, ну так логично Куки же тоже явно удалять нужно, а HSTS - это такой флаг в браузере.
И как правило такой флаг редко снимают, если уж поставили.