I dati del mio sito web vengono trasferiti tramite HTTPS. Per quanto ne so, esiste un certificato rilasciato dalla CA che viene fornito dal server per ogni client, client e server che decide come crittografare e decrittografare le informazioni scambiate e da questo punto e comunicare solo in questo modo. Questo è HTTPS di base.
Ora non capisco dove l'intestazione Strict-Transport-Security si adatta qui. Quando il server lo invia in risposta, il browser condurrà la comunicazione solo tramite HTTPS. E nel caso in cui alcuni URL siano ancora HTTP, li trasformerà automaticamente in HTTPS.
Ecco la domanda: se abbiamo configurato HTTPS come descritto nel primo paragrafo, è ancora necessario inviare l'intestazione Strict-Transport-Security con la risposta del server? Se sì, quale scopo servirà?