HTTP Strict Transport Security (HSTS) melindungi domain CDN Anda dari serangan downgrade, di mana penyerang menyadap koneksi HTTP awal dan mengalihkan lalu lintas ke server berbahaya sebelum browser sempat melakukan upgrade ke HTTPS. Setelah diaktifkan, HSTS menginstruksikan browser untuk:
Menolak koneksi HTTP biasa dan menegakkan HTTPS untuk semua permintaan berikutnya
Memblokir pengguna dari melewati peringatan sertifikat SSL
Prasyarat
Sebelum memulai, pastikan Anda telah:
Menyiapkan sertifikat SSL untuk nama domain yang dipercepat. Lihat Configure an SSL certificate.
Cara kerja
Saat browser terhubung ke Titik Kehadiran (POP) melalui HTTPS untuk pertama kalinya, POP mengembalikan header respons Strict-Transport-Security. Browser kemudian menegakkan koneksi HTTPS-only untuk domain tersebut hingga TTL header tersebut kedaluwarsa.
Format headernya adalah:
Strict-Transport-Security: max-age=<seconds> [;includeSubDomains] [;preload]| Parameter | Wajib | Deskripsi |
|---|---|---|
max-age | Ya | Durasi (dalam detik) selama browser menegakkan koneksi HTTPS-only. |
includeSubDomains | Tidak | Memperluas kebijakan HSTS ke semua subdomain dari nama domain yang dipercepat. |
preload | Tidak | Menambahkan domain ke daftar preload HSTS bawaan browser. |
Untuk permintaan HTTP pertama sebelum HSTS disinkronkan ke browser, POP mengembalikan pengalihan HTTP 301 ke HTTPS. Hal ini mencegah paparan keamanan selama koneksi awal.
Batasan
Sebelum mengaktifkan HSTS, tinjau hal-hal berikut:
HSTS hanya berlaku untuk nama domain, bukan alamat IP.
Jangan mengonfigurasi pengalihan URL ke HTTP secara bersamaan dengan HSTS. Browser tidak akan dapat mengakses domain tersebut.
Sebelum mengaktifkan Include Subdomains, pastikan HTTPS telah dikonfigurasi untuk semua subdomain. Jika ada subdomain yang belum mengaktifkan HTTPS, subdomain tersebut akan menjadi tidak dapat diakses setelah kebijakan diterapkan.
Menonaktifkan HSTS tidak langsung berlaku pada klien. Kebijakan yang diperbarui dikirimkan ke setiap browser pada permintaan HTTPS berikutnya.
Aktifkan HSTS
Masuk ke CDN console.
Di panel navigasi kiri, klik Domain Names.
Temukan nama domain target dan klik Manage di kolom Actions.
Di panel navigasi domain, klik HTTPS.
Di bagian HSTS, klik Modify.
Pada kotak dialog Configure HSTS, aktifkan HSTS dan konfigurasikan parameter berikut:
Parameter Deskripsi Expire In TTL untuk header HSTS yang di-cache di browser, dalam satuan hari. Atur ke 60 hari. Atur ke 0 untuk menonaktifkan HSTS. Include Subdomains Memperluas kebijakan HSTS ke semua subdomain. Aktifkan hanya setelah memastikan HTTPS aktif di setiap subdomain. Klik OK.
Nonaktifkan HSTS
Untuk menonaktifkan HSTS, atur Expire In ke 0 pada kotak dialog Configure HSTS dan klik OK. Browser akan menerapkan kebijakan yang diperbarui pada permintaan HTTPS berikutnya ke POP.