Dengan mengaktifkan HTTP Strict Transport Security (HSTS), Anda dapat memaksa klien, seperti browser, untuk menggunakan HTTPS saat terhubung ke titik kehadiran (POPs) Edge Security Acceleration (ESA), sehingga meningkatkan keamanan.
HSTS
HSTS (HTTP Strict Transport Security) adalah metode yang digunakan situs web untuk menyatakan bahwa mereka hanya mendukung HTTPS.
Setelah Anda mengonfigurasi HSTS, saat klien pertama kali terhubung ke POP melalui HTTPS, POP ESA akan mengirimkan header respons Strict-Transport-Security untuk menginstruksikan klien agar secara eksklusif menggunakan HTTPS untuk permintaan berikutnya selama periode tertentu dan memblokir permintaan HTTP. Sintaksis header respons HSTS adalah: Strict-Transport-Security:max-age=expireTime [;includeSubDomains] [;preload]. Untuk deskripsi metrik, lihat tabel berikut.
Parameter | Description |
max-age | Waktu hidup (TTL) untuk header HSTS, dalam satuan detik. Selama periode ini, client dipaksa menggunakan HTTPS untuk akses. |
includeSubDomains | Parameter opsional. Jika parameter ini disertakan, HSTS diaktifkan untuk domain tersebut dan semua subdomain-nya. |
preload | Parameter opsional. Gunakan daftar preload ketika Anda meminta penambahan domain Anda ke daftar bawaan browser. |
Catatan
Sebelum mengaktifkan HSTS, pastikan Anda telah mengonfigurasi sertifikat SSL/TLS untuk situs Anda dan Configure Edge Certificate. Untuk informasi lebih lanjut, lihat Configure Edge Certificate.
Kebijakan HSTS hanya berlaku untuk nama domain, bukan alamat IP.
Setelah Anda mengonfigurasi HTTP Strict Transport Security (HSTS), jika klien menggunakan HTTP pada kunjungan pertamanya, POP ESA akan melakukan pengalihan paksa permintaan HTTP ke HTTPS karena kebijakan HSTS belum tersinkronisasi ke klien. Hal ini menghindari risiko keamanan terkait.
Setelah Anda mengonfigurasi HSTS, klien hanya dapat mengakses POP ESA melalui HTTPS. Jangan mengonfigurasi pengalihan paksa dari HTTPS ke HTTP.
Karena kebijakan HSTS diterapkan di sisi klien, menonaktifkan HSTS tidak langsung berlaku. Lakukan refresh untuk mengirimkan kebijakan HSTS yang diperbarui ke klien pada permintaan HTTPS berikutnya.
Aktifkan HSTS
Di Konsol ESA, pilih Site Management, lalu klik situs target di kolom Website.
Di panel navigasi sebelah kiri, pilih .
Di area HSTS, klik Configure, aktifkan sakelar Status, lalu klik OK.
Pemetaan aturan tingkat situs dan berbasis aturan
Aturan tingkat situs berlaku untuk semua permintaan ke situs tersebut. Jika Anda ingin mengaktifkan fitur ini hanya untuk permintaan tertentu, gunakan fitur berbasis aturan. Fitur berbasis aturan menggunakan kondisi aturan untuk mengidentifikasi parameter spesifik dalam permintaan pengguna, sehingga memungkinkan Anda mengontrol secara tepat tempat konfigurasi diterapkan. Fitur berbasis aturan yang sesuai dengan konfigurasi global HSTS tingkat situs adalah HSTS.