HSTS

HSTS (HTTP Strict Transport Security) adalah header respons yang memberi tahu browser untuk selalu memakai HTTPS ke domain tersebut, bahkan jika pengguna mengetik http:// atau mengklik tautan lama.

Header dasar

Strict-Transport-Security: max-age=31536000; includeSubDomains

• max-age — durasi browser mengingat aturan, dalam detik.
• includeSubDomains — berlaku untuk semua subdomain.
• preload — mengajukan domain ke daftar preload browser; sulit dibatalkan.

Cara menerapkan dengan aman

1. Pastikan seluruh situs dan subdomain sudah HTTPS.
2. Mulai dengan max-age pendek, misalnya 300 detik.
3. Uji redirect HTTP → HTTPS dan sertifikat.
4. Naikkan max-age bertahap.
5. Tambahkan includeSubDomains hanya setelah semua subdomain aman.
6. Pertimbangkan preload sebagai langkah terakhir.

Yang perlu diperhatikan

• Sulit dibatalkan. Browser yang sudah menerima HSTS akan menolak HTTP sampai max-age habis.
• Subdomain ikut terkena. Satu subdomain tanpa HTTPS bisa tidak dapat diakses.
• Bukan pengganti sertifikat valid. HSTS hanya memaksa HTTPS; sertifikat tetap harus benar.
• CDN harus meneruskan header. Pastikan edge tidak menghapusnya.
• HSTS tidak melindungi kunjungan pertama. Browser baru memakai aturan setelah menerima header.
• Preload bukan keputusan kecil. Dibutuhkan di semua subdomain dan sulit ditarik kembali.

Gunakan curl -I https://contoh.com dan cari strict-transport-security. Di DevTools, buka tab Network lalu lihat Response Headers. Jika header hanya muncul di sebagian halaman, periksa konfigurasi server, CDN, dan aplikasi. HSTS harus konsisten di semua response HTTPS, termasuk subdomain yang tercakup. Uji redirect, pantau error, dokumentasikan max-age, dan jangan aktifkan preload terlalu cepat. Periksa header di semua halaman dan uji dari browser berbeda. Uji ulang setelah seminggu.

FAQ