Strict-Transport-Security ヘッダーの max-age は 2 年が推奨

hstspreload.org で2年が推奨されている
https://hstspreload.org/#deployment-recommendations

また、Mozilla でも 2 年を推奨
https://wiki.mozilla.org/Security/Server_Side_TLS

これらを受けて Rails も 2 年がデフォルトになっている。
https://github.com/rails/rails/pull/38345