¿La API Platform implementa HSTS (encabezado de respuesta strict-transport-security)?

Sí, en todos los niveles. Las API internas de la aplicación utilizan HSTS de forma predeterminada porque nuestro gateway interno lo implementa. La navegación estática del front-end de la plataforma comenzó a implementar esta funcionalidad de forma nativa en la versión 4.8.0.0. Finalmente, con respecto a las llamadas a APIs expuestas por nuestros clientes en sus gateways, es posible seleccionar el tipo de protocolo aceptado por cada inbound address. Si un inbound address está configurado para aceptar solo HTTPS, el gateway devolverá de forma predeterminada el encabezado strict-transport-security.