HSTS

HSTS adalah header yang memberi tahu browser untuk selalu memakai HTTPS saat mengakses domain. Setelah header diterima, browser tidak akan mencoba HTTP lagi sampai masa berlaku habis. Ini mengurangi risiko downgrade dan cookie yang terkirim lewat koneksi tidak aman.

Header dasar

Strict-Transport-Security: max-age=31536000; includeSubDomains

max-age dihitung dalam detik. Satu tahun adalah 31536000 detik. includeSubDomains memperluas aturan ke semua subdomain. preload meminta domain dimasukkan ke daftar preload browser, tetapi ini bukan tombol yang bisa dibatalkan dengan cepat.

Header ini hanya berlaku setelah browser menerima respons HTTPS yang valid. Kalau situs masih bisa diakses lewat HTTP tanpa redirect, HSTS belum melindungi kunjungan pertama.

Rollout yang aman

Mulai dari max-age=300 atau satu hari, lalu naikkan bertahap. Pastikan semua subdomain sudah mendukung HTTPS sebelum menambahkan includeSubDomains. Subdomain lama atau layanan internal yang masih HTTP bisa langsung tidak bisa diakses.

Uji dengan curl -I https://contoh.com dan cari header strict-transport-security. Di DevTools, buka Network, pilih request dokumen, lalu lihat Response Headers. Ulangi di beberapa subdomain.

Jangan aktifkan preload sebelum yakin. Penghapusan dari daftar preload membutuhkan waktu dan pengajuan ulang. Kalau ada layanan yang masih HTTP, preload bisa memutus akses pengguna.

Yang perlu diperhatikan

HSTS tidak menggantikan sertifikat yang valid. Sertifikat harus cocok dengan domain dan tidak kedaluwarsa. Untuk sertifikat, lihat Let's Encrypt dan Wildcard SSL.

HSTS juga tidak melindungi dari semua serangan. Ia mengamankan transport, bukan aplikasi. Untuk header keamanan lain, lihat CSP. Untuk konteks HTTP dan HTTPS, lihat HTTP vs HTTPS.

Kalau Anda memakai CDN, pastikan header tidak dihapus atau ditimpa. Beberapa konfigurasi origin dan CDN bisa menghasilkan header ganda. Periksa respons akhir yang diterima browser, bukan hanya konfigurasi server.

Syarat preload biasanya mencakup sertifikat valid, redirect HTTP ke HTTPS, dan includeSubDomains. Setelah domain masuk daftar preload, browser tidak akan membuka HTTP sama sekali. Uji semua subdomain, termasuk yang jarang dipakai, sebelum mengajukan preload. Kalau ada layanan lama yang masih HTTP, perbaiki dulu atau jangan aktifkan preload.

Kalau ada layanan pihak ketiga di subdomain, koordinasikan sebelum memakai includeSubDomains. HSTS tidak bisa dikecualikan per path, jadi semua path di domain harus HTTPS. Uji dari browser yang belum pernah membuka domain dan catat nilai max-age di runbook.

FAQ