「.app」：在你第一次访问之前 HTTPS 就是强制项——写进 Chrome 源码的 HSTS，不是勾选框
约 120 万在管、Charleston Road Registry（Google）仍跑 Nomulus——并非 GoDaddy Registry——ICANN 拍卖 2500 万美元、2017 年 10 月起 TLD 级 HSTS，以及旧稿 figma.app/notion.app 名单、AIO 模板段与薄 SEO 段为何经不起核对。
NewName 编辑部
编辑团队
打开 cash.app，是 Block 仍在运营的消费者金融科技产品——转账、收款、Bitcoin 一应俱全。打开 tech.app，2026 年中你更可能看到停放页或注册商推销，而不是已上线 App。同一个后缀，证据质量天差地别。被替换的旧稿从未做过这种区分；还把 figma.app、notion.app、slack.app、zoom.app 列成「知名用户」——Figma 主域是 figma.com，Notion 是 notion.so，Slack 是 slack.com，Zoom 是 zoom.us；多为防御性持有，不是主品牌。它还复读 daily-TLD SEO 套话（「Google 把 .app 当标准 gTLD」）以及 AIO 考量段，声称配 SoftwareApplication schema 就能拿到「超出平均的 AI 引用份额」——未经审计，应直接删掉。
真正值得写的故事不是「移动优先品牌」。而是注册局级 HSTS 预加载：在任何注册人配置响应头之前、在任何证书存在之前，Chromium 内置的传输安全状态已把每一个 *.app 主机名视为仅 HTTPS。是这层架构选择——不是语义巧思——让 .app 与 .com 不同。
安全契约：TLD 预加载，不是站点 opt-in
多数域名是逐步获得 HSTS：发 Strict-Transport-Security、拉高 max-age、提交 hstspreload.org、等 Chrome 发版。hstspreload.org 现行建议对普通站点已写明：常规预加载并不推荐——子域运维负担过高。
.app 跳过了 opt-in。2017 年 10 月，Chromium 提交 3054dabc 在 transport_security_state_static.json 为公共后缀 app 写入 mode: force-https 与 include_subdomains: true（Chromium 源码）。Firefox、Safari、Edge 沿用同源列表变体。规则编译进浏览器二进制——不是运行时拉取。
实际含义：
- 首次访问
http://anything.app会被升级为 HTTPS，或直接硬失败。没有明文窗口供降级攻击利用。 - 所有子域继承规则——包括
staging.product.app、内部工具、以及你忘删的 DNS 笔误。 - HSTS 不发证书。 你仍需 TLS 终结（Let's Encrypt、Cloudflare、主机自动证书）。没证书 = 浏览器报错，不是友好跳转。
- TLD 层几乎无法撤销。 单个域名可向 hstspreload.org 移除表单申请；整段预加载的公共后缀不会因一家初创配错 staging 就回滚。
Google Registry 在 2018 年发布时称这是「首个面向公众开放注册、内置强制安全的新 gTLD」（Google 博客，2018 年 5 月）。兄弟 TLD .dev、.page、.new 等在 Chromium 静态文件里共享同一预加载模式——但 .app 是面向大众命名空间验证该模型的载体。
谁在运营——以及 GoDaddy 不是什么
注册局（2026）： Charleston Road Registry Inc.（CRR），即 Google Registry——Google LLC 全资子公司，与 Google 注册商业务按 ICANN 注册局/注册商分离（Google Registry 常见问题）。技术栈：Nomulus 跑在 Google Cloud——Google 用于 .app、.dev、.google 等数十个 TLD 的开源注册局软件。
GoDaddy Registry 不运营 .app。 GoDaddy Registry 为约 170 个其他 TLD（.club、.us、.nyc 等）提供后端（见其 2024 10-K）。GoDaddy 注册商零售 .app——那是销售渠道，不是注册局所有权。混为一谈会误判定价权与政策变更来源。
收购经济学： CRR 在 2015 年 2 月 25 日 ICANN 最后手段拍卖中以 25,001,000 美元 赢得 .app——当时 ICANN 拍卖最高价，击败 Amazon、Donuts 等 11 家申请方（ICANN 结果公告）。公众注册于 2018 年 5 月 8 日开放，此前有七天 Early Access、每日递减费用（Google 发布文）。
区规模：已超过 .io，仍远小于 .com
| 指标 | 来源 / 时间 | 数据 |
|------|------------|------|
| 在管域名 | whois.lws.fr / ICANN MRR，2026 年 4 月 | 约 1,204,850 |
| 同比（在管） | 同上 | +50.7% |
| 累计注册 | Instant Domain Search 区数据，2026 年中 | 约 1,934,676（同比 +37%） |
| 对比 .io | 同上 | 比 .io 约 172 万 多 约 21.4 万 |
| 对比 .dev | 同上 | 约 728,796（同比 +45%，基数更小） |
.app 是按量在管的最大 HTTPS 预加载产品向 TLD——不是全后缀最大。区增长反映语义时尚 + Google 八年营销，不能证明每个已注册字符串都有产品。
定价：标准货架与永不休眠的溢价档
Google Registry 通过价目表定批发；注册商加价（.app 定价政策）。Premium 名在购前即标出更高注册费与续费——不只是首发一次性 surcharge。
| 档位 | 典型区间（美元，2026 年中） |
|------|---------------------------|
| 标准新注（1 年） | 14–22 |
| 标准续费（1 年） | 16–24 |
| 转移 | 14–22 |
| 注册局 premium（示例） | 字典词档 280–1000+ 美元/年续费（HN 注册商讨论） |
| 保留 / 策略释放 | travel.app、shop.app、health.app 一类——常 withheld 或 premium（DN.org 发布分析） |
请按所购档位建模续费，别看 promo 首年。ICANN 统一续费表述挡不住注册局在注册时划分多档 premium 续费类——Google 在注册时分 tier，档位会跟着走。
真站名单——以及该删的宣传话术
别信填空式占位（把 startup.app、notes.app、health.app 当「知名站」却不核验产品）。以下 2026 年中检查仍返回在 .app 本身运营、与使命一致的真实页面：
cash.app —— Block 消费者金融科技；主品牌域，不是跳转 stub。
linear.app —— Linear 产品首页；issue 跟踪 SaaS 以 .app 为规范 URL。
windy.app —— 风运动天气 App；get.app 展示且有 live 产品面。
fellow.app —— 会议管理 SaaS；Google Registry 案例中的主域。
android.app / chrome.app —— Google 自有导航名，跑在自家 TLD 上。
figma.com / notion.so / slack.com —— 反例：大厂持有 .app 防御（Figma 还曾因 figma.app 涉 UDRP D2026-0440），但对外主域在别的后缀。持有 ≠ 建设。
whatsapp.app —— Meta 防御注册；消费产品仍是 whatsapp.com / 应用商店。
扔掉旧指南「SaaS 公司 = 必须 .app」的懒等价。后缀在你选择把营销与下载页规范到 .app 时才有产品身份信号——不是停放 redirect 就有。
HSTS 预加载会破坏什么（运维清单）
把生产 DNS 指到 .app 之前，请核对：
- 每个主机名都有 TLS——含
www、api、staging、遗留 CNAME。 - 预发环境不能在公网
.app子域「临时」跑 HTTP；若真需明文，用.localhost、.test或未预加载 TLD。 - 先上证书自动化再批量开子域；
old-api.product.app证书过期是硬宕机，不是 SEO 警告。 - Deep Link 与邮件须用
https://；部分旧 Android WebView 与企业代理仍对预加载后缀处理不佳——在真机测。 - 停放与出售页也必须 HTTPS；2026 年多数注册商已覆盖，自建 nginx lander 仍须 day-one 证书。
这是 Google Registry 做的交易：命名空间级消灭降级攻击，换取 对 TLS 误配零容忍。
SEO 与 AI 搜索：gTLD，不是排名外挂
.app 在 Google 体系里是标准 gTLD——无地理定向、无特殊 ccTLD 待遇。John Mueller 长期口径：TLD 里的关键词不是排名信号。 强制 HTTPS 去掉一种误配向量；不能替代内容、外链与技术表现。
AI 搜索（ChatGPT Search、Perplexity、Google AI Overviews）：模型引用有权威与新鲜度的页面，不是后缀语义。cash.app 被提到因为 Cash App 是已知产品，不是因为 .app 在模型权重里低语「移动应用」。没有经审计的 AI 概览偏好层——别指望堆 schema 模板换 citation。
一个问题——别用双栏清单
跳过对称「适合 / 不适合」。只问：
你是在做需要「从第一字节就 HTTPS」且 URL 一眼像 App 的公开产品面——还是在买可以用 .com 更便宜托管的时尚 redirect？
选 .app：交付移动 App、PWA 或消费 SaaS，后缀能在广告与应用商店兜底流程里缩短解释，你会把营销/下载页规范到 .app（不只是防御性注册），且团队接受 TLS 自动化作为上线门禁。A 轮前配防御性 .com——见《域名 Hack》 中 linear.app / 公司站分工。
别选 .app：需要 HTTP 可达遗留路径（工业 IoT 偶见）、大陆是核心市场（ exotic gTLD ICP 复杂——运营用 .cn/.com.cn）、身份是开发者文档（→ .dev）、基础设施/API 信号重于「App」（→ .io）、或只要从不推广的便宜防御 redirect（.com + /app 路径可能够用）。
值得对比的替代：
.dev—— 同族 HSTS 预加载；面向工程师，非消费 App 语义。.page—— Google 兄弟，落地页向；同样 HTTPS 预加载。.io—— 无 TLD 级 HSTS；查戈斯主权栈另算。.ai—— AI vanity；安圭拉 ccTLD 经济学，非 Google Nomulus。.com—— 机构默认；仍可 HTTP（请勿）。
常见问题
为什么新 .app 不能走 HTTP？
整个 .app 公共后缀在 Chromium HSTS 预加载列表里且含子域。浏览器在你发任何头之前就拒绝明文。
还要 SSL 证书吗？
要。HSTS 强制 HTTPS 连接；TLS 证书完成身份校验。没证书 = 连接失败。
2026 年谁运营 .app？
Charleston Road Registry（Google Registry） 跑 Nomulus。GoDaddy Registry 是其他 TLD 的运营方；GoDaddy 注册商零售 .app。
.app 对 SEO 好吗？
作为 gTLD 中性。HTTPS 是 .app 很难违反的基线。排名仍看常规范式——见 SEO 友好域名。
能把 .app 从 HSTS 预加载移除吗？
注册人不能。TLD 级预加载 baked 进浏览器发版。请按永久 HTTPS 义务规划。
Premium 续费吓到我了——谁定价？
Google Registry 在注册时分 tier。注册商透传同一续费类；下单前查清档位。
在多个后缀间压测 App 品牌架构？我们的域名搜索一次检查 .app、.dev、.com 及 1000+ 后缀——或先读《如何创造令人记住的品牌名》，再为 clever hack 付 premium 续费。
