HSTS etkinleştirildiğinde tarayıcı, max-age süresi boyunca o alan adına yapılan tüm HTTP isteklerini kendi içinde HTTPS'e çevirir ve sertifika hatalarında kullanıcının uyarıyı geçmesine izin vermez. Bu sayede ortak Wi-Fi gibi ağlarda bağlantının şifresiz hâle düşürülmesi (SSL stripping) engellenir.
Örnek başlık:
Strict-Transport-Security: max-age=31536000; includeSubDomainsTarayıcılar HTTP üzerinden gelen HSTS başlığını yok sayar; başlık yalnızca HTTPS yanıtlarında etkilidir. İlk ziyaret boşluğunu kapatmak için alan adı, tarayıcılara gömülü preload listesine eklenebilir; bunun için max-age en az 31536000 saniye olmalı, includeSubDomains ve preload yönergeleri bulunmalı ve tüm alt alan adları HTTPS desteklemelidir.
Geçişte kısa bir max-age ile başlayıp kademeli olarak artırmak, olası sorunlarda sitenin uzun süre erişilemez kalmasını önler.