**Activer le module "header" si ce n'est pas fait :

<code>a2enmod headers</code>

ensuite ajouter dans /etc/apache2/sites-enabled/default-ssl ou dans le .htaccess : 

<code>
<IfModule mod_headers.c>
Header set Strict-Transport-Security "max-age=15552000; includeSubDomains; preload" env=HTTPS
</IfModule>
</code>

lien utile : 

https://www.justegeek.fr/activer-len-tete-hsts-sur-apache-pour-proteger-son-site-web/\\
https://hstspreload.org/