怎么在谷歌浏览器中强制所有的HTTP请求自动重定向到HTTPS？

让Chrome强制HTTPS访问，这篇实操指南就够了

在网络安全日益重要的今天，确保浏览器总是使用加密的HTTPS连接访问网站，几乎成了基础操作。但很多人在配置Chrome时，会遇到这么个烦心事：明明网站已经支持HTTPS，可地址栏里还是顽固地挂着“http://”，看着就让人不放心。

其实，要解决这个问题，根本不需要借助任何第三方插件或工具。Chrome自己就内置了一套非常成熟的安全策略机制，能让你对特定网站或全局流量实现自动的HTTP到HTTPS升级。这里头最关键的两个方法，一个叫“HSTS预加载”，一个叫“全局HTTPS升级功能”。

方法一：利用HSTS预加载，为特定域名“锁定”HTTPS

如果你手头有完全掌控的内网或公网域名，比如公司的内部系统域名，而且已经部署了有效的HTTPS证书，那么HSTS（HTTP Strict Transport Security）预加载就是最可靠的选择。这东西就像浏览器里的“备忘录”——只要记下“我以后只认HTTPS”，那就真的再也不会走HTTP了，而且这个策略会一直生效，直到你手动清理缓存或策略过期。

怎么操作呢？

• 第一步，在Chrome地址栏直接敲入 chrome://net-internals/#hsts 回车。
• 第二步，往下翻，找到【Add domain】区域。在Domain框里输入你要强制的域名，比如说 yourcompany.com。注意了，千万别带http://、https://或者端口号，纯粹写域名就行。
• 第三步，勾选【Include subdomains】。这一步很关键，决定了你这域名下的所有子站，比如 mail.yourcompany.com 或 api.yourcompany.com，是不是也要一起强制跳转。漏选了，有些子站就可能还是走HTTP，前功尽弃。
• 第四步，点击【Add】。这时候回到页面上方的【Query domain】区域，输入同样的域名，如果能显示“Found”，就代表策略已经成功写入Chrome的本地HSTS缓存了。
• 第五步，彻底关闭所有Chrome窗口，包括后台进程的那种，再重新启动浏览器。之后你再试试访问 http://yourcompany.com，地址栏就会瞬间变成 https://yourcompany.com，并且旁边出现那个安全的小锁图标。

方法二：启用Chrome全局“HTTPS自动升级”功能

这个方法不依赖单个域名配置，而是由浏览器自动“主动探测”。从Chrome 119版本开始，这个功能就默认开启了，属于实验性功能。它会对那些没有预先加载HSTS策略、但自身支持HTTPS的网站，发起升级探测。

开启方法很简单：在地址栏输入 chrome://flags/#https-upgrades，找到【HTTPS Upgrades】选项，把它从默认状态改成【Enabled】，然后点击右下角的【Relaunch】重启浏览器就行。

这里要提醒一句：这个功能不是无脑强制。它只会在检测到目标服务器返回了307重定向或者明确表示支持HTTPS时，才会触发跳转。如果服务器压根就没有HTTPS服务，它还是会老老实实地用HTTP加载，不会直接报错中断，算是比较智能的“优化”逻辑。

怎么验证你的设置生效了？

配置完之后，总得检验一下成果。这里有三个简单直接的验证方法：

• 第一招：直接观察。 在地址栏输入 http://example.com 然后回车，如果配置成功，你几乎看不到http的加载过程，地址栏会瞬间变成 https://example.com 并完成页面加载。
• 第二招：开发者工具。 按下F12打开开发者工具，切换到【Network】标签页，刷新页面。然后看第一行网络请求的【Protocol】列，如果显示的是 h2 或者 http/1.1（这是HTTPS底层协议的标识），而不是赤裸裸的 http/1.1 明文协议，那就说明升级生效了。
• 第三招：HSTS缓存查询。 回到 chrome://net-internals/#hsts 页面，在【Query domain】里输入域名。如果显示【Found】，并且其中 includeSubdomains 参数值为 true（你勾选的话），那就说明HSTS策略已经稳稳地激活了。