Panduan Keamanan Web Lengkap Dengan 5 Praktik Terbaik HTTPS

Apa Itu HTTPS?

HTTPS (Hypertext Transfer Protocol Secure) adalah protokol komunikasi internet yang melindungi integritas dan kerahasiaan data pengguna antara komputer pengguna dan situs. 

Pengguna menginginkan pengalaman online yang aman dan bersifat pribadi saat menggunakan situs. Sebaiknya Anda menggunakan HTTPS untuk melindungi koneksi pengguna ke situs, terlepas dari isi konten situs tersebut.

Data yang dikirim menggunakan HTTPS, diamankan melalui protokol Transport Layer Security (TLS), yang memberikan tiga lapis kunci perlindungan:

1. Enkripsi—mengenkripsi data pertukaran untuk menjaga keamanan data dari penyadap. Artinya, saat pengguna menjelajahi situs web, tidak ada yang dapat “menguping” percakapan, melacak aktivitas di berbagai laman, atau mencuri informasi.
2. Integritas data—data tidak dapat diubah atau dirusak selama transfer dengan sengaja atau tidak, tanpa terdeteksi.
3. Autentikasi—membuktikan bahwa pengguna Anda berkomunikasi dengan situs web yang diinginkan. Hal tersebut dapat melindungi dari serangan man-in-the-middle (MITM) dan membangun kepercayaan pengguna, yang dapat memberikan keuntungan lain untuk bisnis Anda.

Praktik Terbaik Saat Menerapkan HTTPS

Gunakan sertifikat keamanan yang kuat

Anda harus mendapatkan sertifikat keamanan sebagai bagian dari pengaktifan HTTPS untuk situs. Sertifikat ini diterbitkan oleh otoritas sertifikat (CA), yang akan melakukan langkah-langkah untuk memverifikasi bahwa alamat website Anda benar-benar milik organisasi Anda, sehingga akan melindungi pelanggan dari serangan man-in-the-middle. Saat menyiapkan sertifikat, pastikan keamanan tingkat tinggi diterapkan dengan memilih kunci 2048  bit. Jika Anda telah memiliki sertifikat dengan kunci yang lebih lemah (1024 bit), tingkatkan versinya ke 2048 bit. Saat memilih sertifikat situs, perhatikan hal-hal berikut:

• 1. Dapatkan sertifikat dari CA yang dapat diandalkan sekaligus menawarkan dukungan teknis.
• 2. Tentukan jenis sertifikat yang Anda butuhkan:
  • a. Satu sertifikat untuk single secure origin (misalnya www.example.com).
  • b. Sertifikat beberapa domain untuk beberapa single secure origin telah dikenal (misalnya www.example.com, cdn.example.com, example.co.uk).
  • c. Sertifikat karakter pengganti untuk single secure origin dengan banyak subdomain dinamis (misalnya a.example.com, b.example.com).

Gunakan pengalihan sisi server

Alihkan pengguna dan search engine ke halaman HTTPS atau sumber daya dengan pengalihan HTTP 301 sisi server.

Verifikasi halaman HTTPS agar dapat ditelusuri dan diindeks Google

• Jangan memblokir halaman HTTPS dengan file robots.txt.
• Jangan menyertakan tag no index meta di halaman HTTPS Anda.
• Gunakan fitur Inspeksi URL untuk menguji apakah Googlebot dapat mengakses halaman Anda.

Dukung HSTS

Sebaiknya situs HTTPS mendukung HSTS (HTTP Strict Transport Security). HSTS memberi tahu browser untuk meminta halaman HTTPS secara otomatis, meskipun pengguna memasukkan http di kolom lokasi browser. HSTS juga memberi tahu Google untuk menayangkan URL yang aman dalam hasil penelusuran. Semua tindakan ini mengurangi risiko penayangan konten yang tidak aman kepada pengguna.

Untuk mendukung HSTS, gunakan server web yang mendukung HSTS dan dapat mengaktifkan fungsinya.

Meskipun lebih aman, HSTS membuat strategi rollback Anda semakin rumit. Sebaiknya aktifkan HSTS dengan cara berikut:

1. Luncurkan halaman HTTPS tanpa HSTS terlebih dahulu.
2. Mulailah mengirim header HSTS dengan usia maksimum yang singkat. Pantau lalu lintas, baik dari pengguna dan klien lain, serta performa  dependen, seperti iklan.
3. Tingkatkan masa maksimum HSTS sedikit demi sedikit.
4. Jika HSTS tidak memberikan pengaruh negatif kepada pengguna dan search engine, Anda dapat meminta agar situs Anda ditambahkan ke daftar pramuat HSTS yang digunakan oleh sebagian besar browser.

Pertimbangkan untuk menggunakan pra pemuatan HSTS

Jika Anda mengaktifkan HSTS, secara opsional Anda dapat mendukung pra pemuatan HSTS untuk keamanan ekstra dan performa yang disempurnakan. Untuk mengaktifkan prapemuatan, Anda harus membuka hstspreload.org dan mengikuti persyaratan pengiriman untuk situs.

Hindari kesalahan umum berikut.

Selama proses mengamankan situs Anda dengan TLS, hindari kesalahan berikut:

table{font-family:arial,sans-serif;border-collapse:collapse;width:100%}td,th{border:1px solid #ddd;text-align:left;padding:8px}tr:nth-child(even) {background-color:#ddd}

Melakukan Migrasi dari HTTP ke HTTPS

Jika Anda memigrasikan situs dari HTTP ke HTTPS, Google memperlakukan proses ini hanya sebagai pemindahan situs dengan perubahan URL. Proses ini dapat mempengaruhi beberapa jumlah traffic Anda untuk sementara. Lihat halaman ringkasan pemindahan situs untuk mempelajari lebih lanjut.

Tambahkan properti HTTPS baru ke Search Console: Search Console memperlakukan HTTP dan HTTPS secara terpisah, data tidak dibagikan dengan properti lain di Search Console.