HSTS Adalah: Manfaat, Cara Kerja dan Mengaktifkannya

HSTS adalah mekanisme keamanan web yang dirancang untuk melindungi website dari serangan yang melibatkan downgrade dan pembajakan cookie. HSTS (HTTP Strict Transport Security) bekerja dengan memaksa browser untuk selalu menggunakan koneksi HTTPS ketika mengakses website, sehingga semua komunikasi antara pengguna dan server dienkripsi dengan aman.

HSTS pertama kali diperkenalkan sebagai standar keamanan oleh Internet Engineering Task Force (IETF) melalui RFC 6797 pada tahun 2012. Sejak itu, HSTS telah diadopsi secara luas oleh banyak website besar untuk meningkatkan keamanan mereka.

Table of Contents

Mengapa HTTPS?

Sebelum membahas lebih lanjut tentang HSTS, penting untuk memahami mengapa HTTPS sangat penting:

HTTPS mengenkripsi data yang dikirim antara browser dan server, melindungi informasi sensitif seperti kata sandi, informasi kartu kredit, dan data pribadi lainnya dari potensi pencurian oleh pihak ketiga.
Dengan HTTPS, data yang dikirim dan diterima tidak dapat diubah atau dirusak selama transmisi, sehingga memastikan bahwa informasi yang diterima adalah asli dan tidak dimanipulasi.
HTTPS memastikan bahwa pengguna berkomunikasi dengan website yang benar dan bukan website palsu yang dibuat untuk tujuan phishing atau penipuan.

Manfaat HSTS

Implementasi HSTS membawa berbagai manfaat penting bagi keamanan website, antara lain:

Dengan HSTS, semua koneksi ke server website harus menggunakan HTTPS, sehingga menghilangkan risiko data dicuri melalui koneksi HTTP yang tidak aman.
HSTS mencegah serangan downgrade, di mana penyerang mencoba menurunkan koneksi HTTPS menjadi HTTP yang tidak aman.
SSL stripping adalah teknik di mana penyerang mengubah koneksi HTTPS menjadi HTTP selama transmisi data. Dengan HSTS, koneksi semacam ini akan langsung ditolak.
HSTS juga membantu melindungi cookie dari pencurian dengan memastikan cookie hanya dikirim melalui koneksi yang aman.

Cara Kerja HSTS

Sistem kerja HSTS cukup sederhana namun efektif. Berikut ini langkah-langkah utama cara kerja HSTS:

Ketika server mengirim respons ke browser, server juga mengirimkan header HSTS yang memberitahukan browser bahwa hanya koneksi HTTPS yang diterima.
Browser menyimpan kebijakan HSTS tersebut dan memastikan bahwa untuk jangka waktu tertentu, semua koneksi ke domain tersebut harus menggunakan HTTPS.
Jika pengguna mencoba mengakses website melalui HTTP, browser akan otomatis mengalihkan ke HTTPS.

Contoh header HSTS yang digunakan pada server:

httpCopy codeStrict-Transport-Security: max-age=31536000; includeSubDomains; preload

Cara Mengaktifkan HSTS

Mengaktifkan HSTS pada website Anda membutuhkan beberapa langkah berikut:

Pastikan website sudah menggunakan sertifikat SSL yang valid. Anda bisa mendapatkan sertifikat SSL dari penyedia layanan SSL atau melalui Let’s Encrypt yang menawarkan sertifikat SSL gratis.
Tambahkan header HSTS pada konfigurasi server Anda. Cara ini bervariasi tergantung pada jenis server yang digunakan, seperti Apache, Nginx, atau IIS.
Pastikan semua halaman website dapat diakses melalui HTTPS dan tidak ada konten campuran (mixed content) yang dapat menyebabkan masalah keamanan.
Daftarkan domain Anda pada HSTS preload list agar browser dapat mengenali domain Anda sebagai HSTS tanpa perlu mengaksesnya terlebih dahulu.

Contoh Konfigurasi HSTS di Apache

Jika kamu menggunakan server Apache, tambahkan baris berikut pada file .htaccess atau pada konfigurasi virtual host:

apacheCopy code<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</IfModule>

Contoh Konfigurasi HSTS di Nginx

Untuk pengguna Nginx, tambahkan baris berikut pada blok server di file konfigurasi Nginx:

nginxCopy codeadd_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Cara Menonaktifkan HSTS

Ada kalanya kita perlu menonaktifkan HSTS, misalnya jika mengalami masalah dengan sertifikat SSL atau bila ingin menghapus HSTS dari situs. Berikut panduan untuk menonaktifkan HSTS di berbagai browser:

1. Google Chrome

Buka Chrome dan ketikkan chrome://net-internals/#hsts pada kolom URL.
Di bagian “Delete domain security policies”, masukkan domain yang ingin dihapus dan klik “Delete”.
Masukkan domain di bagian “Query HSTS/PKP” dan klik “Query”. Jika muncul notifikasi “Not found”, berarti HSTS sudah berhasil dihapus.

2. Mozilla Firefox

Buka pengaturan History (Ctrl + Shift + H pada Windows atau Cmd + Shift + H pada Mac).
Cari domain yang ingin dihapus dari history.
Klik kanan pada domain dan pilih “Forget about this site”.
Restart browser untuk menerapkan perubahan.

3. Apple Safari

Tutup aplikasi Safari terlebih dahulu.
Buka Finder dan navigasikan ke ~/Library/Cookies/. Hapus file bernama HSTS.plist.
Buka kembali Safari.

4. Microsoft Edge

Klik ikon tiga titik di sudut kanan atas dan pilih “Settings”.
Pilih “Privacy, search, and services” dan klik “Choose what to clear” di bawah bagian “Clear browsing data”.
Centang opsi “Cookies and other site data” serta “Cached images and files”.
Klik “Clear now” untuk menghapus data browsing.

Dalam penerapan HSTS, ada beberapa potensi masalah yang mungkin Anda hadapi:

Pastikan sertifikat SSL selalu diperbarui dan valid. Penggunaan sertifikat dari penyedia terkemuka atau Let’s Encrypt dapat membantu mengatasi masalah ini.
Pastikan semua konten di website, termasuk gambar, script, dan stylesheet, diakses melalui HTTPS.
Saat mengembangkan atau menguji website, gunakan subdomain atau lingkungan staging yang tidak mengaktifkan HSTS untuk menghindari masalah akses.

Studi Kasus: Keberhasilan Implementasi HSTS

Beberapa perusahaan besar telah berhasil meningkatkan keamanan website mereka dengan mengimplementasikan HSTS. Misalnya, Google dan Facebook menggunakan HSTS untuk melindungi data pengguna mereka dari serangan cyber.

1. Google

Google telah mengaktifkan HSTS pada semua layanannya, termasuk Gmail dan Google Drive. Langkah ini membantu memastikan bahwa semua data yang dikirim melalui layanan Google dienkripsi dan aman.

2. Facebook

Facebook menggunakan HSTS untuk melindungi data pribadi penggunanya dan mencegah serangan man-in-the-middle. Dengan HSTS, Facebook memastikan bahwa semua komunikasi antara pengguna dan server Facebook dienkripsi dan aman.

Meskipun ada beberapa potensi masalah dalam penerapan HSTS, manfaatnya jauh lebih besar dalam hal meningkatkan keamanan dan kepercayaan pengguna terhadap website. Dengan mengikuti langkah-langkah yang dijelaskan di atas, kamu dapat dengan mudah mengaktifkan HSTS dan memastikan bahwa website aman dari berbagai ancaman cyber. Semoga informasi ini bermanfaat.

Baca juga:

Daftar Referensi

Google Developers. (2020). HSTS (HTTP Strict Transport Security). Retrieved from https://developers.google.com/web/fundamentals/security/encrypt-in-transit/enable-https
Mozilla Developer Network. (2021). HTTP Strict Transport Security (HSTS). Retrieved from https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security
OWASP Foundation. (2020). HTTP Strict Transport Security (HSTS). Retrieved from https://owasp.org/www-project-top-ten/OWASP_Top_Ten_2017/Top_10-2017_A6-Security_Misconfiguration.html
Qualys SSL Labs. (2020). HTTP Strict Transport Security (HSTS). Retrieved from https://www.ssllabs.com/ssltest/viewMyClient.html
Google Security Blog. (2012). New security features: HTTP Strict Transport Security and Public Key Pinning. Retrieved from https://security.googleblog.com/2012/11/new-security-features-http-strict.html
Nginx. (2020). How to enable HTTP Strict Transport Security (HSTS) on Nginx. Retrieved from https://www.nginx.com/blog/http-strict-transport-security-hsts-and-nginx/
Apache HTTP Server Project. (2020). Enabling HTTP Strict Transport Security (HSTS). Retrieved from https://httpd.apache.org/docs/2.4/mod/mod_headers.html
Let’s Encrypt. (2020). How to configure HSTS. Retrieved from https://letsencrypt.org/docs/http-strict-transport-security/
Tao, W., Z. (2020). Securing web applications with HSTS. Smashing Magazine. Retrieved from https://www.smashingmagazine.com/2020/02/securing-web-applications-hsts/
Facebook Engineering. (2014). Protecting people from malicious content with HSTS. Retrieved from https://engineering.fb.com/security/protecting-people-from-malicious-content-with-hsts/