HSTS com max-age de pelo menos 180 dias
Falha se a resposta não tiver o cabeçalho Strict-Transport-Security ou se o max-age for menor que 15552000 segundos (180 dias).
Por que importa
O HSTS faz o navegador usar só HTTPS no seu domínio. Sem ele, alguém na mesma rede pode interceptar uma visita feita por HTTP antes do redirecionamento para HTTPS.
Como corrigir
Envie Strict-Transport-Security: max-age=31536000; includeSubDomains em todas as respostas HTTPS.
Como conferir a correção
HTTP-001
curl -sI https://seu-app.com | grep -i strict-transport-security