Ho visto che i siti Web trasformano automaticamente le richieste HTTP in HTTPS senza l'intestazione HTTP Strict Transport Security (HSTS).
Quindi la riga seguente nella richiesta alleggerisce completamente la necessità di HSTS?
Content-Security-Policy: upgrade-insecure-requests;
Da MDN :
The
upgrade-insecure-requestsdirective will not ensure that users visiting your site via links on third-party sites will be upgraded to HTTPS for the top-level navigation and thus does not replace the Strict-Transport-Security (HSTS) header, which should still be set with an appropriate max-age to ensure that users are not subject to SSL stripping attacks.
upgrade-insecure-requests aggiorna qualsiasi richiesta http a https quando la pagina viene caricata su https. Ciò aiuta a evitare il problema dei contenuti misti, ma non impone il caricamento della pagina su uno schema sicuro.
Maggiori dettagli possono essere trovati su link
Fanno cose diverse. Content-Security-Policy: upgrade-insecure-requests influisce sulle risorse della tua pagina per una singola sessione, incluse le cose collegate ad altri domini. L'HSTS influenza il tuo dominio e il tuo browser lo ricorda.