[SSL-017] HSTS mantiene una política HTTPS incompatible

Why it can happen: Si «hsts mantiene una política https incompatible» varía por ubicación, red o proveedor, puede fallar la resolución autoritativa, una ruta de tránsito, el anuncio Anycast o una regla UFW/iptables/fail2ban. Una prueba desde un único punto no permite atribuir el problema a BGP ni a un ASN.

`dig +trace HOST`
`curl -sv --connect-timeout 5 --max-time 15 https://HOST/ -o /dev/null`
`mtr -rwzc 5 HOST` (si está disponible; compara varias redes)

Step-by-step resolution:
1. Compara DNS y conectividad desde dos redes y conserva hora UTC, destino y salida redactada. 2. Si falla antes del servicio, pide al administrador/proveedor que compruebe ruta, firewall, Anycast y bloqueos por IP/ASN. 3. No vacíes reglas ni desactives fail2ban; solicita una excepción limitada solo si el operador confirma un falso positivo. 4. Repite la prueba desde la misma ubicación y desde otra red.

Why it can happen: Una operación relacionada con «hsts mantiene una política https incompatible» puede fallar aunque el proceso esté activo si el volumen llegó a su cuota/inodos, el usuario de servicio perdió acceso por POSIX/ACL, un atributo inmutable bloquea la escritura o el filesystem reporta errores.

`df -hT; df -i`
`namei -l RUTA_AFECTADA`
`getfacl -p RUTA_AFECTADA` y, si se administra el host, `lsattr RUTA_AFECTADA`
Revisa eventos del filesystem con el operador; para ZFS/EXT4 no ejecutes reparaciones en línea a ciegas.

Step-by-step resolution:
1. Identifica el mount, cuota e inodos afectados; no borres datos para liberar espacio sin conocer su propietario. 2. Pide al administrador que valide ACL, propietario, modo y atributos contra el diseño esperado. 3. Corrige solo la ruta y el principal mínimos; nunca uses `chmod -R 777`. 4. Si hay errores ZFS/EXT4, conserva logs y deja scrub/fsck y recuperación al operador, con ventana y copia verificadas.

Why it can happen: La carga asociada a «hsts mantiene una política https incompatible» puede agotar memoria/cgroup o swap, saturar workers/sockets PHP-FPM, alcanzar límites de procesos o quedar esperando un lock/un pool de conexiones de MySQL/MariaDB.

`free -h; vmstat 1 5`
`ps -eo pid,comm,%mem,%cpu --sort=-%mem | head`
En cgroup v2: `cat /sys/fs/cgroup/memory.events`
Pide al DBA métricas sanitizadas de waits/locks y al operador métricas del pool PHP-FPM; no compartas consultas con datos personales.

Step-by-step resolution:
1. Correlaciona OOM, swap-in/out, cola de workers y espera de conexiones con la hora del síntoma. 2. Reduce concurrencia o corrige la fuga/consulta en staging antes de subir límites. 3. Solicita al administrador dimensionar memoria, pool y cuotas conjuntamente; aumentar solo `max_children` puede agravar el OOM. 4. Verifica que los contadores dejan de crecer y que la latencia se recupera bajo carga controlada.

Why it can happen: El proceso de «hsts mantiene una política https incompatible» puede no escuchar en la interfaz/puerto esperado o el proxy Nginx/LiteSpeed puede apuntar a un upstream/socket incorrecto. También pueden intervenir un worker Node.js/Bun o Python WSGI caído, cabeceras proxy incorrectas, certificado vencido o SNI que no coincide.

`curl -sv --connect-timeout 5 --max-time 15 https://HOST/RUTA -o /dev/null`
`openssl s_client -connect HOST:443 -servername HOST -verify_return_error </dev/null`
Con acceso autorizado: contrasta listener, upstream configurado y logs del runtime; no publiques sus secretos.

Step-by-step resolution:
1. Separa respuesta del proxy, handshake TLS y estado del proceso; conserva códigos HTTP y hora UTC. 2. Comprueba bind/puerto, healthcheck, socket y configuración de upstream contra el despliegue vigente. 3. Valida cadena/SAN/SNI y cabeceras forwarded; prueba cambios primero en staging. 4. El operador puede validar la configuración y hacer reload controlado; confirma respuesta desde proxy y origen.

Why it can happen: Si «hsts mantiene una política https incompatible» depende de una API, pueden producirse 401/403 por token/rol, 429 por cuota, 5xx/timeout, CORS por origen/método, o rechazo HMAC por cuerpo/fecha/firma distintos. Un webhook puede reintentarse y duplicar efectos si no es idempotente.

`curl -sv --connect-timeout 5 --max-time 20 https://API_HOST/RUTA -o /dev/null`
Registra método, ruta sin datos sensibles, código, `Date`, `Retry-After`, duración e ID de petición. Comprueba CORS en la consola del navegador. No incluyas Bearer tokens ni secretos HMAC.

Step-by-step resolution:
1. Verifica identidad, permisos, reloj del emisor y alcance del token mediante el gestor oficial; rota una credencial solo por canal seguro. 2. Para 429 respeta `Retry-After` y aplica backoff con jitter e idempotency key; no repitas operaciones de escritura a ciegas. 3. Para CORS valida origen exacto, método y cabeceras permitidas en el servidor que responde; CORS no sustituye autenticación. 4. Para HMAC confirma bytes exactos del cuerpo, algoritmo, timestamp y secreto compartido en ambos extremos; prueba un evento no productivo.