Herramientas gratuitas
Revisa la cabecera Strict-Transport-Security de un sitio: si existe, su duración (max-age), si cubre subdominios, y si el dominio ya está en la lista de precarga HSTS que usan los navegadores.
Le indica al navegador que siempre debe usar HTTPS con ese dominio, incluso si el usuario escribe la URL sin "https://", evitando así un primer request inseguro.
Estar en la lista de precarga de navegadores (hstspreload.org) protege incluso la primera visita, porque el navegador ya sabe de antemano que debe usar HTTPS antes de hacer cualquier conexión.
Preguntas frecuentes
Se considera adecuado un valor de al menos 31536000 segundos (un año) para calificar para la lista de precarga.
No es obligatorio, pero suma una capa extra de protección contra ataques de downgrade en la primera conexión.