HTTP Strict Transport Security (HSTS): Pengertian, Fungsi, Cara Kerja

HSTS adalah singkatan dari HTTP Strict Transport Security, yaitu cara untuk mencegah cyber crime yang mengintai dunia online. Salah satu ancamannya adalah Man-in-The-Middle atau MitM yang diam-diam bisa menghadang pertukaran data dan mengambil informasi penting ketika pengguna sedang melakukan browsing.

Mengerikan bukan jika ada pihak lain yang mengetahui data pribadi kamu dan menyalahgunakannya? Nah, agar terhindar dari cyber crime, ketahui tentang HSTS mulai dari pengertian, fungsi, hingga cara kerja pada artikel berikut.

Apa itu HSTS?

HSTS adalah sebuah metode ketika website memaksa browser untuk menggunakan koneksi HTTPS (Hypertext Transfer Protocol Secure) ketika melakukan pertukaran data. HTTPS adalah protokol komunikasi antar jaringan yang memiliki keamanan yang lebih baik berkat adanya proteksi dari Secure Socket Layer atau SSL. Sedangkan HTTP adalah protokol jaringan tanpa SSL yang kurang aman.

Metode HSTS akan memungkinkan website bekerja secara lebih aman. Karena, hanya akan melayani permintaan dari koneksi HTTPS dan menolak koneksi HTTP yang rentan serangan hacker.

Metode ini sangat berguna untuk meningkatkan keamanan website dari kebocoran informasi. Apalagi jika memuat data, seperti username atau password hingga data kartu kredit yang digunakan untuk melakukan metode pembayaran online.

Image: Freepik

Cara Kerja HSTS

Penggunaan internet pada umumnya hanya mengetik URL untuk mengakses sebuah website, tanpa menentukan jenis protokolnya. Misal, url Vocasia yaitu www.vocasia.id.  Maka, protokol yang digunakan untuk permintaan tersebut bisa saja adalah http://vocasia.id yang tidak aman.

Website yang menggunakan HSTS akan memiliki HTTPS headers pada servernya, yaitu: Strict-Transport-Security: max age=expireTime;includeSubDomains; preload.

Header tersebut diibaratkan sebagai rambu lalu lintas yang bertuliskan ‘HTTP dilarang masuk’. Permintaan dengan koneksi HTTP tersebut akan mendapatkan redirect 301 ke website versi HTTPS. Hal ini tentu akan memaksa browser melakukan permintaan dengan HTTPS.

Jika browser bersedia melakukannya, aktivitas pertukaran data dapat dilanjutkan. Bahkan, setiap kali URL vocasia.id diketikkan, permintaan dengan koneksi HTTPS akan otomatis dibuat.

Baca juga| Mengenal Software As A Service (SaaS) Dan Contoh Aplikasinya

Fungsi HSTS

Secara teknik, HSTS berfungsi sebagai tindakan perlindungan dengan mengirimkan kebijakan ke web page’s header. Tindakan tersebut memaksa browser untuk membuat koneksi HTTPS yang aman ketika seseorang mengunjungi sebuah website.

Sementara secara konteks, fungsi HSTS adalah meningkatkan keamanan komunikasi dan pertukaran data. HSTS yang aktif membuat semua koneksi ke server hanya bisa dilakukan menggunakan HTTPS yang dilindungi proteksi SSL. Tentunya penerapan ini dapat mencegah teknis peretasan bernama SSL stripping.

Pada teknik SSL stripping, seorang hacker bisa berada di antara koneksi HTTP dan HTTPS serta bisa mencegat koneksi pertukaran data yang terjadi. Jika hacker sudah bertindak sebagai ;jembatan’, mereka dapat memindai data pengunjung atau bahkan mengubah informasi sensitif yang dapat memengaruhi perusahaan. 

Mengapa Harus Hapus HSTS?

HSTS memang bermanfaat karena terbukti meningkatkan keamanan pada website. Namun, ada kondisi yang menyebabkan HSTS bisa memunculkan masalah sehingga harus dihapus. Ketika terjadi redirect 301, browser bisa saja tidak dapat menggunakan koneksi HTTPS jika SSLnya bermasalah. SSL bermasalah bisa disebabkan oleh banyak hal, bisa karena kadaluarsa, sertifikat tidak sesuai, atau masalah lainnya.

Dengan adanya HSTS, koneksi tidak dapat terjadi dan kamu akan menemukan ‘Privacy error: Your Connection is not private’ (NET::ERR_CERT_AUTHORITY_INVALID). Untuk menghindari hal tersebut, kamu bisa menghapus HSTS di browser agar koneksi bisa dilakukan kembali.

Baca juga| Mengenal Firebase: Definisi, Jenis, dan Fungsi

Image: Freepik

Cara Menghapus HSTS di Browser

Jika menemukan error dan pesan di atas, langkah yang bisa dilakukan adalah dengan menghapus HSTS di browser. Berikut adalah cara menghapus HSTS di browser:

1. Cara Menghapus HSTS di Google Chrome

• Ketikan chrome://net-internals/#hsts pada kolom URL.
• Scroll ke bawah dan masukkan URL tanpa protokol ke kolom Delete domain security policies. Lalu, klik Delete.
• Untuk memastikan terhapus, kamu bisa memasukkan URL yang sama ke kolom Query HSTS/PKP domain. Lalu, klik Query. Jika muncul Not Found, artinya kamu telah berhasil menghapus HSTS dan bisa mencoba mengakses kembali web tersebut.

2. Cara Menghapus HSTS di Mozilla Firefox

• Pertama, tutup tab yang menampilkan error.
• Buka History melalui shortcut CTRL+SHIFT+H di Windows atau CMD+SHIFT+H di Mac.
• Cari website yang ingin kamu hapus dengan memasukkan namanya pada kolom pencarian. Lalu, klik kanan hasilnya dan pilih Forget About This Site.
• Restart Mozilla Firefox. Sekarang, kamu sudah berhasil menghapus HSTS dan bisa mencoba kembali mengakses website tersebut.

3. Cara Menghapus HSTS di Apple Safari

• Pertama, tutup browser Apple Safari terlebih dahulu.
• Lalu, hapus file -/Library/Cookies/HSTS.plist pada direktori Home.
• Buka kembali Apple Safari. Kamu telah berhasil menghapus HSTS dan bisa mencoba kembali mengakses website tersebut.

Baca juga| Brainware: Pengertian, Fungsi, Jenis, Komponen Dan Contohnya

HSTS akan sangat membantu dalam meminimalisir indikasi pencurian data oleh pihak yang tidak bertanggung jawab. Karena HSTS akan memaksa web browser untuk selalu mengakses website pada protokol HTTPS yang terenkripsi. 

Secara garis besar, penerapan HSTS dipastikan aman, paling tidak jika dibandingkan website tanpa HSTS dengan memastikan hanya koneksi HSTS yang digunakan, data dan informasi pribadi, baik perusahaan kamu atau pengunjung dapat lebih terlindungi saat melakukan aktivitas browsing.