HSTS-заголовок закрывает целый класс атак через downgrade на HTTP, но если включить его неаккуратно с длинным max-age на поддомене без сертификата — сайт станет недоступен для части пользователей на месяцы вперёд, пока не истечёт кэш браузера. Тестируйте сначала на коротком TTL.