Aktifkan HSTS (Strict-Transport-Security)
Transportasi (HTTPS) · sekitar 5 menit
Dengan bahasa sederhana
HSTS memberi tahu browser: "selalu hubungi situs ini lewat HTTPS." Tanpa HSTS, kunjungan pertama bisa diam-diam diturunkan ke HTTP yang tidak terenkripsi, misalnya di Wi-Fi publik.
Apa risikonya
Orang di jaringan yang sama (kafe, hotel, bandara) bisa menyadap atau membelokkan permintaan pertama.
Cara memperbaikinya
Pilih platform yang dipakai situs Anda. Tidak yakin? Teruskan halaman ini ke pengelola website Anda.
Nginx
# inside the server { } block
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;Apache / .htaccess
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>Cloudflare
Rules → Transform Rules → Modify Response Header
Set static: Strict-Transport-Security = max-age=31536000; includeSubDomains
# Cloudflare Pages: add to public/_headers
/*
Strict-Transport-Security: max-age=31536000; includeSubDomainsVercel
// vercel.json
{ "headers": [ { "source": "/(.*)", "headers": [
{ "key": "Strict-Transport-Security", "value": "max-age=31536000; includeSubDomains" }
] } ] }Netlify
# public/_headers
/*
Strict-Transport-Security: max-age=31536000; includeSubDomainsWordPress
// functions.php (child theme) — or use your security plugin's "HTTP headers" setting
add_action('send_headers', function () {
header('Strict-Transport-Security: max-age=31536000; includeSubDomains');
});Sebelum mengubah apa pun: Tambahkan includeSubDomains hanya jika SEMUA subdomain sudah berjalan di HTTPS. Mulai dengan max-age=300 selama sehari, lalu naikkan ke satu tahun. Jangan tambahkan "preload" sebelum benar-benar yakin — sulit dibatalkan.
Pastikan sudah berhasil
Jalankan ulang cek ProbeHunt. Atau buka DevTools → Network → halaman Anda → Response Headers dan cari strict-transport-security.