勾选需要的安全响应头，调整参数，自动生成 Nginx / Apache 配置代码。
基本是。Strict-Transport-Security告诉浏览器在max-age内强制HTTPS访问，一旦下发，有效期内用户即使输http也被浏览器本地改写为https——证书出问题期间无法回退。稳妥路径：先max-age=300试运行，确认全站HTTPS无混合内容后再放大到一年并考虑preload提交。
从只报告不拦截开始：Content-Security-Policy-Report-Only配好策略观察违规报告，确认无误报后换成强制头。策略由宽到紧：先default-src 'self'放行本站，再按报告逐个添加可信第三方域，最后收紧script-src（避免unsafe-inline）。