Názory k článku
Google začíná nasazovat HSTS

Nic takového ve standardu není, max-age může být klidně nastaveno na nulu. Jen v případě, že chcete mít doménu zařazenou v seznamech preloaded domén (jsou součástí prohlížečů), je podmínkou nastavení alespoň 18 týdnů (10886400 sekund).

Myslím, že takové pravidlo je jen v SSL labs pro získání hodnocení A+. Jinak by v té hlavičce ani nemusela být volba max-age, ale jen flag ignore-this-header ;)

Další hřebíček do rakve captive portálů.

Ale zdá se, že STS hlavičku posílají jen vybraným user-agentům. Třeba takový curl nebo wget (který HSTS podporuje!) ji nedostane.

Většina zařízení umí správně udělaný captive portál detekovat (udělají http někam ven). Takže jen další hřebíček do rakve špatně udělaných captive portálů (to je jen dobře)

Zachycující stránka, která se zobrazí, než se dostanete na žádanou webovou adresu. Obvykle přihlašovací obrazovka, ale může to být i "citát dne", reklama atp.

HTTPS certifikát vydává vždy nějaká certifikační autorita. Kterým certifikačním autoritám budete věřit je vaše volba.

Nemusíte používat Links. Můžete používat originální Firefox, ve kterém uživatel může seznam certifikačních autorit libovolně upravovat. Asi používáte nějakou upravenou verzi Firefoxu, když ten seznam máte napevno.