一个想法：为什么现在有 HSTS Preload，但没有 Preload Cert？

[billchenchina]

刚才看了看关于 HSTS 的资料，突然有这么个想法：

如果说 preload 是为了防止中间人，硬编码到浏览器里的，那么为什么没有 preload 证书这种东西，能够在获取证书的时候就知道某个站点 preload （而且这样的话就可以不硬编码了）？

[xupefei]

Http 头里不就有参数干这个么

[isCyan]

preload 证书是证书对吧
传送证书就是使用 https 协议对吧
那么用户使用 http 协议的话，你的 preload 证书根本发送不到浏览器
那么如果加上 http to https 的跳转，引导用户使用 https
攻击者就可以劫持这个跳转请求，也就是唯一的使用 http 协议的请求，阻止跳转到 https 或者干别的事情
所以没有任何用

[billchenchina]

@isCyan

哦...刚才自己智障了...感谢回复。。

（结贴）

[SingeeKing]

「在获取证书的时候就知道某个站点 preload 」

这不就是 HSTS 头吗。。。

[jsq2627]

HPKP?

[RqPS6rhmP3Nyn3Tm]

根证书都是内置的，没啥用