Pernah merasa sudah aman karena website sudah pakai HTTPS, tapi ternyata masih bisa diakses lewat HTTP kalau diketik manual? Ini artinya redirect HTTPS kamu belum sepenuhnya kuat. Dan di sinilah peran HSTS jadi penting. HSTS (HTTP Strict Transport Security) adalah cara agar browser memaksa koneksi ke situs kamu hanya lewat HTTPS. Bahkan kalau ada yang coba akses dengan HTTP, langsung ditolak.
Artikel ini akan bahas kenapa HSTS itu penting, cara mengaktifkannya di berbagai jenis hosting, dan tips supaya implementasinya tidak salah langkah.
Apa Itu HSTS dan Bagaimana Cara Kerjanya?
HSTS adalah protokol keamanan berbasis header HTTP. Saat browser mengunjungi website dengan HSTS aktif, browser akan mencatat bahwa situs tersebut hanya boleh diakses lewat HTTPS selama periode tertentu (misalnya 6 bulan). Kalau pengguna mencoba akses via HTTP, browser akan otomatis mengubahnya ke HTTPS atau langsung menolak akses.
Contohnya:
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Header ini menyatakan bahwa situs hanya boleh diakses via HTTPS selama 1 tahun (31536000 detik), termasuk semua subdomain, dan ingin dimasukkan ke preload list browser.
Manfaat Mengaktifkan HSTS
- Mencegah downgrade attack: serangan yang mencoba paksa koneksi kembali ke HTTP.
- Meningkatkan keamanan login, form, dan transaksi.
- Diperlukan untuk masuk ke preload list browser utama seperti Chrome dan Firefox.
- SEO friendly: Google menyarankan penggunaan HTTPS + HSTS untuk situs profesional.
Prasyarat Sebelum Aktifkan HSTS
Jangan buru-buru aktifkan HSTS kalau hal-hal ini belum siap:
- SSL sudah aktif dan valid di seluruh domain dan subdomain.
- Semua akses HTTP sudah dialihkan ke HTTPS.
- Website tidak memiliki konten campuran (mixed content).
Kalau masih ada akses HTTP atau file yang di-load lewat HTTP, HSTS bisa bikin pengunjung tidak bisa buka situs kamu.
Cara Mengaktifkan HSTS di cPanel Hosting
Jika kamu pakai layanan hosting Flazz Networks berbasis cPanel, cara aktifkan HSTS cukup mudah:
1. Gunakan .htaccess
Buka File Manager > public_html > cari file .htaccess, lalu tambahkan baris berikut:
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</IfModule>
Simpan dan pastikan tidak ada error saat reload website.
2. Cek Apakah Header Sudah Aktif
Kunjungi https://securityheaders.com lalu ketik domain kamu. Pastikan bagian Strict-Transport-Security muncul dengan nilai yang benar.
Cara Aktifkan HSTS di DirectAdmin Hosting
Untuk pengguna Flazz Networks dengan panel DirectAdmin (NVMe, LiteSpeed), caranya mirip:
- Buka File Manager > public_html
- Edit file
.htaccess, lalu tambahkan:
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
Jika pakai LiteSpeed, pastikan modul mod_headers sudah aktif (biasanya aktif default).
Mengaktifkan HSTS di VPS (Tanpa Panel)
1. Apache
Edit file konfigurasi virtual host HTTPS kamu, misalnya:
<VirtualHost *:443>
ServerName namadomain.com
...
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</VirtualHost>
Lalu reload Apache:
sudo systemctl reload apache2
2. Nginx
Di Nginx, tambahkan baris berikut di server block HTTPS:
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
Kemudian reload:
sudo systemctl reload nginx
Opsi Tambahan: Masuk ke HSTS Preload List
Jika kamu yakin semua akses HTTP sudah ditutup dan HSTS sudah berjalan stabil, kamu bisa daftarkan domain ke preload list Google:
- Pastikan HSTS header kamu:
- Menggunakan
max-age >= 31536000 - Mengandung
includeSubDomains - Mengandung
preload
- Menggunakan
- Kunjungi: https://hstspreload.org
- Masukkan domain dan submit
Setelah disetujui, browser seperti Chrome, Firefox, dan Safari akan otomatis memaksa HTTPS untuk domain kamu — bahkan sebelum pernah dikunjungi.
Tips Tambahan
- Jangan aktifkan HSTS sebelum HTTPS kamu benar-benar stabil.
- Tes dulu dengan
max-age=300(5 menit) sebelum naik jadi 1 tahun. - Gunakan tools seperti https://httpstatus.io atau curl untuk cek respon header:
curl -I https://namadomain.com
Dengan mengaktifkan HSTS, kamu tidak hanya mengalihkan trafik ke HTTPS, tapi juga mengunci jalur agar tidak bisa dibuka lewat HTTP sama sekali. Ini adalah langkah lanjutan dari redirect, yang sangat disarankan untuk semua website profesional, terutama yang menyimpan data pelanggan.
Flazz Networks menyediakan layanan hosting dan VPS dengan SSL gratis dan fitur panel yang sudah mendukung konfigurasi HSTS. Kalau kamu butuh bantuan setting atau ingin pastikan website kamu sudah terenkripsi dengan baik, tinggal hubungi kami:
- Website: https://www.flazznetworks.com/
- WhatsApp/Telegram: 0899-8130-330
- Instagram: https://www.instagram.com/flazznetworks
