HSTSを無効にすることはできますか？

[tminai]

アクセス時のレスポンスヘッダーに

Strict-Transport-Security: max-age=15552000; includeSubDomains

が含まれています。
これを無効化 ( or max-age=0)にすることはできますか？

[tminai]

補足ですが、今は無理やりnginxを挟んでproxy_hide_headerして消しています。

[yuki-takei]

helmet のデフォルト挙動のようですね。

GROWI ではこのように利用しているようで、オプションは変更可能にはなっていないです。

growi/packages/app/src/server/crowi/express-init.js

Lines 63 to 68 in 4f70a9f

	app.use(helmet({
	contentSecurityPolicy: false,
	expectCt: false,
	referrerPolicy: false,
	permittedCrossDomainPolicies: false,
	}));

環境変数経由で helmet のオプションを上書きするような PR を出していただければマージを検討したいですが、いかがでしょうか。