RFC 6797 で決められた仕組みで、JPRS の用語の解説では、中間者攻撃を防ぐための技術とされています。サイトが HSTS を伝えると、ブラウザはその期間のあいだ、http で始まるアドレスを開こうとしても https でつなぎます。期間は max-age で、秒で指定します。
includeSubDomains を付けると、サブドメインのサイトにも https でつなぐよう伝えます。付ける前に、すべてのサブドメインが https で開けることを確かめます。また、初めて訪れたときと、期間が切れたあとは、http でつながります。初めから https でつながせる方法として、「HSTS プリロード」があります。
HSTS を伝える前に、http で開いた人を https へ送る転送と、ページの中の http の読み込みを直しておきます。順番は混在コンテンツの記事に書いています。
RFC 6797 は、HSTS を伝えたサイトで証明書の誤りなどがあれば、ブラウザは訪れた人に先へ進む選択肢を出さずに、つなぐのをやめるよう勧めています。期間を長くするほど、その扱いも長く続きます。https で開けないサブドメインや、期限の切れそうな証明書が無いかを、先に確かめます。