---
title: HSTS
description: Header yang memaksa browser memakai HTTPS. Mulai dari max-age pendek sebelum includeSubDomains atau preload.
canonical: https://penasihathosting.com/wikihosting/hsts
type: wiki
locale: id
updated: 2026-10-29
author: Willya Randika
---

# HSTS

## Overview

- **Summary:** Header yang memaksa browser memakai HTTPS. Mulai dari max-age pendek sebelum includeSubDomains atau preload.
- **Author:** Willya Randika ([profile](/penulis/willya-randika))

## Article

**HSTS (HTTP Strict Transport Security)** adalah header respons yang memberi tahu browser untuk **selalu** memakai HTTPS ke domain tersebut, bahkan jika pengguna mengetik `http://` atau mengklik tautan lama.

## Header dasar

```http
Strict-Transport-Security: max-age=31536000; includeSubDomains
```

- `max-age` — durasi browser mengingat aturan, dalam detik.
- `includeSubDomains` — berlaku untuk semua subdomain.
- `preload` — mengajukan domain ke daftar preload browser; sulit dibatalkan.

## Cara menerapkan dengan aman

1. Pastikan seluruh situs dan subdomain sudah HTTPS.
2. Mulai dengan `max-age` pendek, misalnya 300 detik.
3. Uji redirect HTTP → HTTPS dan sertifikat.
4. Naikkan `max-age` bertahap.
5. Tambahkan `includeSubDomains` hanya setelah semua subdomain aman.
6. Pertimbangkan `preload` sebagai langkah terakhir.

## Yang perlu diperhatikan

- **Sulit dibatalkan.** Browser yang sudah menerima HSTS akan menolak HTTP sampai max-age habis.
- **Subdomain ikut terkena.** Satu subdomain tanpa HTTPS bisa tidak dapat diakses.
- **Bukan pengganti sertifikat valid.** HSTS hanya memaksa HTTPS; sertifikat tetap harus benar.
- **CDN harus meneruskan header.** Pastikan edge tidak menghapusnya.
- **HSTS tidak melindungi kunjungan pertama.** Browser baru memakai aturan setelah menerima header.
- **Preload bukan keputusan kecil.** Dibutuhkan di semua subdomain dan sulit ditarik kembali.

Gunakan `curl -I https://contoh.com` dan cari `strict-transport-security`. Di DevTools, buka tab Network lalu lihat Response Headers. Jika header hanya muncul di sebagian halaman, periksa konfigurasi server, CDN, dan aplikasi. HSTS harus konsisten di semua response HTTPS, termasuk subdomain yang tercakup. Uji redirect, pantau error, dokumentasikan max-age, dan jangan aktifkan preload terlalu cepat. Periksa header di semua halaman dan uji dari browser berbeda. Uji ulang setelah seminggu.

## FAQ

<Accordion>
  <AccordionItem title="Apakah HSTS langsung berlaku?">
    Tidak. Browser memakai aturan setelah menerima header pada koneksi HTTPS yang valid. Kunjungan pertama masih bisa lewat HTTP.
  </AccordionItem>
  <AccordionItem title="Apakah HSTS bisa membuat situs tidak bisa diakses?">
    Bisa, jika ada subdomain yang belum mendukung HTTPS. Karena itu, mulai dari max-age pendek dan uji semua subdomain.
  </AccordionItem>
  <AccordionItem title="Apakah HSTS sama dengan redirect HTTPS?">
    Tidak. Redirect mengarahkan permintaan HTTP ke HTTPS. HSTS memerintahkan browser untuk tidak memakai HTTP sejak awal.
  </AccordionItem>
</Accordion>