サブドメインに対してHTTP Strict Transport Securityを設定した場合の「includeSubDomains」の挙動

Question

HTTP Strict Transport SecurityヘッダにincludeSubDomainsを追加したときの挙動について、以下のような理解で合っているでしょうか？

・example.comに対して設定した場合の適用範囲
⇒*.example.com（サブドメイン全体）

・aaa.example.comに対して設定した場合
⇒*.aaa.example.com（サブサブドメインのみ）

Answer 1

RFC6797の6.1.2節に定義されています。

6.1.2. The includeSubDomains Directive

The OPTIONAL "includeSubDomains" directive is a valueless directive
which, if present (i.e., it is "asserted"), signals the UA that the
HSTS Policy applies to this HSTS Host as well as any subdomains of
the host's domain name.

つまり、HSTSを表明したホストのドメイン名およびそのサブドメインが適用範囲ですね。