Apa Itu HSTS Preload dan Perlukah Website Mendaftar?

HSTS (HTTP Strict Transport Security) adalah header yang memberi tahu browser: "untuk domain ini, selalu pakai HTTPS, jangan pernah HTTP". Aturannya ditetapkan di RFC 6797. Setelah browser menerima header itu, ia akan otomatis mengubah setiap permintaan HTTP menjadi HTTPS selama jangka waktu yang ditentukan.

HSTS preload melangkah lebih jauh. Domainmu dimasukkan ke daftar yang ditanam langsung di dalam browser, sehingga perlindungan berlaku bahkan sebelum pengunjung pernah membuka situsmu. Kedengarannya ideal, tapi yang dipertaruhkan juga besar. Begitu masuk daftar, seluruh subdomain wajib HTTPS, dan keluar dari daftar butuh waktu berbulan-bulan.

Apa bedanya HSTS biasa dan HSTS preload?

Celah kunjungan pertama

HSTS biasa hanya bekerja setelah browser pernah menerima header dari situsmu. Pada kunjungan paling pertama, atau setelah masa berlakunya habis, browser masih bisa mencoba HTTP terlebih dulu. Di jaringan yang tidak aman, misalnya Wi-Fi publik, momen singkat itu secara teori bisa dimanfaatkan penyerang untuk membelokkan pengunjung ke versi HTTP.

Preload menutup celah ini karena browser sudah "tahu" sejak awal bahwa domainmu wajib HTTPS.

Siapa yang memakai daftar preload?

Menurut hstspreload.org, daftar ini dikelola oleh Chrome, dan Firefox, Safari, serta Edge juga memakai daftar preload yang berbasis daftar Chrome. Jadi satu pendaftaran berdampak ke sebagian besar browser populer, setelah daftar itu ikut dalam pembaruan browser.

Apa saja syarat mendaftar HSTS preload?

Per 11 November 2026, hstspreload.org mensyaratkan:

1. Sertifikat SSL yang valid.
2. Mengalihkan HTTP ke HTTPS di host yang sama, bila server mendengarkan port 80.
3. Semua subdomain dilayani lewat HTTPS, termasuk www bila catatan DNS-nya ada, dan termasuk subdomain internal.
4. Header HSTS di domain utama untuk permintaan HTTPS dengan max-age minimal 31536000 detik (1 tahun), memuat includeSubDomains, dan memuat preload.
5. Bila halaman HTTPS mengalihkan ke alamat lain, pengalihan itu juga harus membawa header HSTS.

Contoh header yang memenuhi syarat:

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

Cara memasang header keamanan di server ada di security headers seperti CSP dan HSTS, dan pengalihan HTTP ke HTTPS di redirect HTTP ke HTTPS lewat .htaccess.

Kapan sebaiknya mendaftar, kapan cukup HSTS biasa?

Daftarkan domain ke preload bila seluruh ekosistem domainmu sudah pasti HTTPS dan akan tetap begitu. Contohnya layanan yang menangani login, pembayaran, atau data sensitif, dengan tim teknis yang menguasai semua subdomain dan sertifikatnya. Bagi situs seperti ini, menutup celah kunjungan pertama sepadan dengan komitmennya.

Cukup pakai header HSTS biasa bila masih ada bagian domain yang tidak sepenuhnya kamu kendalikan. Ini situasi yang umum di bisnis kecil dan menengah: ada subdomain untuk aplikasi lama, perangkat kantor yang diakses lewat nama domain, layanan pihak ketiga yang memakai subdomainmu, atau rencana membuat subdomain baru tanpa kepastian HTTPS. Satu subdomain yang tertinggal bisa membuat layanan itu tidak bisa diakses sama sekali.

Kalau tetap ingin preload, lakukan bertahap. Mulai dengan header HSTS max-age pendek tanpa includeSubDomains, naikkan perlahan, tambahkan includeSubDomains setelah semua subdomain dicek, baru tambahkan preload dan mendaftar. Sebelum itu, inventaris semua subdomain dari catatan DNS dan pastikan masing-masing punya sertifikat valid. Untuk banyak subdomain, SSL wildcard bisa memudahkan.

Satu catatan menarik: sebagian ekstensi domain, seperti .app dan .dev, sudah masuk daftar preload di tingkat ekstensinya. Semua domain dengan ekstensi itu otomatis wajib HTTPS di browser modern, tanpa perlu mendaftar.

Apa yang perlu disiapkan sebelum header dipasang?

Header HSTS, bahkan tanpa preload, juga punya efek yang tidak bisa langsung dicabut. Browser yang sudah menerima header akan mengingatnya sampai max-age habis. Kalau kamu memasang max-age satu tahun lalu ternyata ada halaman yang belum siap HTTPS, pengunjung lama tetap dipaksa ke HTTPS selama setahun itu. Karena itu, mulai dengan nilai kecil, misalnya beberapa menit atau satu hari, dan naikkan setelah yakin.

Beberapa hal yang perlu dicek dulu:

• Semua halaman dan aset (gambar, skrip, CSS) sudah dimuat lewat HTTPS, tanpa mixed content.
• Perpanjangan sertifikat berjalan otomatis dan pernah diuji.
• Daftar subdomain di DNS sudah diperiksa satu per satu.
• Ada orang yang bertanggung jawab memantau masa berlaku sertifikat.

Bagaimana mengecek apakah domain sudah siap?

Masukkan nama domain di hstspreload.org. Situs itu akan memeriksa header, pengalihan, dan sertifikat, lalu menampilkan kesalahan yang harus diperbaiki sebelum bisa mendaftar. Halaman yang sama juga menunjukkan status domain, apakah sudah ada di daftar, sedang menunggu, atau belum terdaftar.

Pemeriksaan konfigurasi TLS secara umum bisa dilengkapi dengan menguji website di SSL Labs.