HSTS
Безопасность — насколько трудно увести сессию, встроить чужой код или узнать, что ломать.
стоит поправить
чинится быстро
вес 6
Что это
Strict-Transport-Security — заголовок, которым сайт говорит браузеру: следующие N секунд обращайся ко мне только по https, даже если пользователь набрал адрес без протокола. Браузер запоминает это и больше не делает первый незащищённый запрос, который и перехватывают в открытых сетях.
Чем грозит
Первый заход по http происходит до редиректа — в публичном Wi-Fi этого хватает, чтобы перехватить сессию. HSTS велит браузеру ходить только по https, минуя эту дырку.
Что делать
Добавьте заголовок Strict-Transport-Security с max-age не меньше полугода.