HSTS mantido depois de um redirecionamento
Segue no máximo um redirecionamento a partir da URL e falha se a resposta final não tiver o cabeçalho Strict-Transport-Security.
Por que importa
Se o endereço de destino não envia HSTS, o navegador não guarda a regra de usar só HTTPS para ele, e a proteção do HTTP-001 não vale ali.
Como corrigir
Envie o cabeçalho HSTS em todos os domínios e caminhos que participam do redirecionamento.
Como conferir a correção
HTTP-005
curl -sIL https://seu-app.com | grep -i strict-transport-security