压缩会改变所选中的 HTTP 表示
分开测试压缩与未压缩请求，让缓存和验证器描述实际送达的字节。
现场笔记
3 / 4
缓存头是两套时钟的契约
把浏览器端新鲜度与源站校验分开，再验证实现两者的响应头。
HSTS 应带着恢复计划来灰度发布
HSTS 是被缓存的浏览器策略，因此一个配置错误可能比创建它的服务器变更活得更久。
HEAD 应描述与 GET 相同的表示
HEAD 是 GET 的元数据视图；状态与表示头应讲同一个故事。
DNS 变更需要一个感知缓存的回滚窗口
提前准备 TTL，观察权威与递归应答，并让两个端点在整个缓存窗口内都有效。
CAA 记录应授权你实际使用的签发者
CAA 收窄了证书签发策略，但一条错误的记录会像过期证书一样有效地阻断续期。
Cookie 作用域应比应用边界更窄
发送给过多主机或路径的 Cookie，会放大这些边界上每个错误的冲击。
Content-Type 应描述你实际发送的字节
文件名只是一个提示，响应头才是面向浏览器的表示契约。