Public-Key-Pins-Report-Only（HPKP-RO）是一种HTTP响应头，它允许网站所有者测试其公钥固定策略，而无需将其发布到全球网络中。与Public-Key-Pins（HPKP）不同，它不强制客户端遵循策略，而仅报告不符合策略的违规情况。

当服务器发送HTTP响应时，HPKP-RO头部指示浏览器在HTTPS连接期间收集证书链信息。如果发现未经过受信任的证书机构签名的证书链，则浏览器会将此信息回传给服务器，而不是阻止连接。这使得网站管理员能够测试和验证其公钥固定策略是否适当，而无需影响终端用户的体验。

下面是一个使用HPKP-RO头部的HTTP响应头示例：


HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Strict-Transport-Security: max-age=31536000; includeSubDomains
Public-Key-Pins-Report-Only: pin-sha256="base64=="; pin-sha256="base64=="; max-age=86400; report-uri="https://example.com/hpkp-report"


该示例包括了一个HPKP-RO头部，其中包含两个pin-sha256指令和一个max-age指令，这些指令定义了公钥固定策略。在此示例中，浏览器将收集证书链信息，并将任何不符合公钥固定策略的违规情况报告给https://example.com/hpkp-reportURI。