He visto que los sitios web transforman automáticamente las solicitudes HTTP en HTTPS sin el encabezado HTTP Strict Transport Security (HSTS).
¿La siguiente línea en la solicitud alivia completamente la necesidad de HSTS?
Content-Security-Policy: upgrade-insecure-requests;
De MDN :
La directiva
upgrade-insecure-requestsno garantizará que los usuarios La visita a su sitio a través de enlaces en sitios de terceros se actualizará a HTTPS para la navegación de nivel superior y, por lo tanto, no reemplaza al Encabezado de seguridad de transporte estricto (HSTS), que aún debe establecerse con una edad máxima adecuada para garantizar que los usuarios no estén sujetos a Ataques de eliminación de SSL.
upgrade-insecure-requests actualiza cualquier solicitud http a https cuando la página se carga a través de https. Esto ayuda a evitar problemas de contenido mixto, pero no obligará a que la página se cargue a través de un esquema seguro.
Se pueden encontrar más detalles en enlace