Topik ini menjelaskan cara mengonfigurasi HTTP Strict Transport Security (HSTS). Setelah mengonfigurasi HSTS, klien seperti browser hanya dapat membuat koneksi HTTPS ke titik kehadiran (POPs), meningkatkan keamanan.
Prasyarat
Sertifikat SSL telah dikonfigurasi. Untuk informasi lebih lanjut, lihat Konfigurasikan sertifikat SSL.
Informasi latar belakang
HSTS adalah mekanisme kebijakan yang memungkinkan situs web hanya menerima koneksi HTTPS.
Setelah mengonfigurasi HSTS, saat pertama kali klien terhubung ke POP melalui HTTPS, POP menggunakan header respons untuk memberi tahu klien bahwa hanya permintaan HTTPS yang diizinkan dalam periode waktu tertentu dan memblokir permintaan HTTP. Header respons HSTS berada dalam format Strict-Transport-Security:max-age=expireTime [;includeSubDomains] [;preload]. Tabel berikut menjelaskan parameter-parameter tersebut.
Parameter | Deskripsi |
max-age | TTL (time-to-live) dari header HSTS. Unit: detik. Klien hanya dapat memulai permintaan HTTPS selama periode ini. |
includeSubDomains | Opsional. Jika Anda mengonfigurasi parameter ini, HSTS diaktifkan untuk nama domain dan subdomainnya. |
preload | Opsional. Parameter ini memungkinkan Anda menambahkan nama domain ke daftar preloaded HSTS browser. |
Klien menggunakan HSTS untuk nama domain hingga TTL yang ditentukan oleh parameter max-age berakhir. Selama TTL, permintaan HTTP diblokir dan dialihkan menjadi permintaan HTTPS.
Setelah mengaktifkan HSTS, POP mengarahkan ulang permintaan HTTP pertama yang dimulai oleh klien ke HTTPS dengan kode status HTTP 301 untuk mencegah risiko keamanan karena pengaturan HSTS belum disinkronkan ke klien.
Batasan
Setelah mengonfigurasi HSTS, klien hanya dapat mengakses POP melalui HTTPS. Jangan mengonfigurasi pengalihan URL ke HTTP pada saat yang sama.
Header respons HSTS berlaku untuk respons terhadap permintaan HTTPS tetapi tidak berlaku untuk respons terhadap permintaan HTTP. Sebelum HSTS berlaku, Anda dapat mengonfigurasi pengalihan paksa untuk mengarahkan ulang permintaan HTTP pertama dari klien ke HTTPS menggunakan pengalihan 301. Untuk informasi lebih lanjut, lihat Konfigurasikan pengalihan paksa.
HSTS hanya berlaku untuk nama domain dan tidak berlaku untuk alamat IP.
HSTS berlaku pada klien. Menonaktifkan HSTS tidak segera berlaku. Anda perlu menyegarkan status HSTS dan mengirimkan status HSTS ke klien ketika klien memulai permintaan HTTPS berikutnya.
Prosedur
Masuk ke DCDN console.
Di bilah navigasi di sebelah kiri, klik Domain Names.
Pada halaman Domain Names, temukan nama domain yang ingin Anda kelola dan klik Configure.
Di pohon navigasi di sebelah kiri nama domain, klik HTTPS Settings.
Di bagian HSTS, aktifkan HSTS dan tentukan parameter Expire In dan Include Subdomains.
Expire In: Tentukan TTL untuk header respons HSTS untuk disimpan di browser. Kami merekomendasikan Anda mengatur nilainya menjadi 60. Unit: hari.
Include Subdomains: Lanjutkan dengan hati-hati. Pastikan HTTPS diaktifkan untuk semua subdomain dari nama domain yang dipercepat. Jika tidak, subdomain akan menjadi tidak dapat diakses setelah permintaan dialihkan ke HTTPS.
Klik OK.