HTTP Strict Transport Security (HSTS) dijelaskan
HTTP Strict Transport Security (HSTS) adalah header respons yang memberi tahu browser untuk selalu terhubung ke situsmu hanya lewat HTTPS. Setelah terlihat sekali, browser menolak koneksi HTTP biasa ke domainmu selama masa berlaku policy.
Apa itu
HSTS dikirim lewat header Strict-Transport-Security, mis. max-age=31536000; includeSubDomains; preload. max-age adalah berapa lama (dalam detik) browser mengingat aturan ini.
Setelah kunjungan HTTPS pertama, browser otomatis meng-upgrade setiap request berikutnya ke HTTPS — pengguna tidak bisa tanpa sengaja membuka versi yang tidak aman, dan penyerang tidak bisa menurunkan koneksi kembali ke HTTP.
Kenapa penting
Tanpa HSTS, request pertama yang dibuat pengguna (mengetik yourdomain.com) berjalan lewat HTTP biasa dan bisa disadap sebelum redirect ke HTTPS-mu sempat terjadi — serangan SSL-stripping klasik.
Policy HSTS yang lemah melemahkan perlindungannya: max-age yang pendek mempersempit jendela penegakan, dan menghilangkan includeSubDomains membuat setiap subdomain terbuka terhadap downgrade.
Cara memperbaiki
Gunakan max-age yang panjang (satu tahun), cakup subdomain, dan ikut serta dalam preloading.
Strict-Transport-Security: max-age=31536000; includeSubDomains; preloadBaru tambahkan includeSubDomains dan preload setelah setiap subdomain menyajikan HTTPS yang valid — kalau tidak, kamu bisa mengunci pengguna dari subdomain yang belum siap.
Setelah header-mu menyertakan 'preload', daftarkan domainmu di hstspreload.org agar browser menegakkan HTTPS bahkan pada kunjungan pertama.
FAQ
max-age berapa yang harus kupakai?
Minimal 15552000 (6 bulan); 31536000 (1 tahun) adalah rekomendasi umum dan diwajibkan untuk preload list.
Bisakah HSTS mengunciku dari situsku sendiri?
Hanya kalau kamu nanti perlu menyajikan lewat HTTP atau punya subdomain tanpa HTTPS. Uji secara menyeluruh sebelum mengaktifkan includeSubDomains atau preload.
Apakah aplikasimu terpengaruh?
AppSafe memeriksa ini dan puluhan masalah lain dalam satu pemindaian gratis.
Pindai aplikasiku gratis