Pemeriksa Pramuat HSTS

• Pemeriksaan Status Pramuat HSTS Waktu Nyata: Kueri API hstspreload.org v2 resmi secara waktu nyata untuk memeriksa apakah suatu domain ada dalam daftar pramuat HSTS Chrome/Chromium. Alat ini mengembalikan salah satu dari empat status: Dimuat sebelumnya (dalam daftar), Tertunda (dikirim dan menunggu peninjauan), Ditolak (tidak memenuhi persyaratan), atau Tidak Dimuat (tidak ada dalam daftar). Setiap status mencakup penjelasan rinci tentang apa artinya bagi domain.
• Informasi Pramuat Terperinci: Selain status dasar, Pemeriksa Pramuat HSTS mengungkapkan apakah domain dikirimkan melalui pengiriman massal, domain pramuat sebenarnya (berguna untuk subdomain yang dicakup oleh entri induk), dan waktu respons kueri. Hasilnya juga mencakup tautan langsung ke hstspreload.org untuk rincian lebih lanjut dan opsi pengiriman.
• Deskripsi & Panduan Status Cerdas: Setiap status pramuat HSTS dilengkapi dengan penjelasan yang dapat dibaca manusia dan panduan yang dapat ditindaklanjuti. Jika domain sudah dimuat sebelumnya, deskripsi menjelaskan kekuatan penegakan hukum. Jika ditolak, alasan umum akan dicantumkan. Jika tidak dimuat sebelumnya, panduan tentang cara mengirimkan domain disediakan.
• Gratis & Tidak Perlu Pendaftaran: Periksa domain sebanyak yang Anda inginkan tanpa pendaftaran, tanpa kunci API, dan tanpa batasan penggunaan. Pemeriksa Pramuat HSTS menanyakan API hstspreload.org publik langsung dari browser Anda - tidak ada data yang disimpan atau dicatat di server kami. Sepenuhnya gratis, selamanya.

• Audit & Kepatuhan Keamanan: Profesional keamanan menggunakan Pemeriksa Pramuat HSTS untuk memverifikasi bahwa domain klien memiliki penerapan HTTPS sekuat mungkin. Menyertakan domain dalam daftar pramuat HSTS memastikan bahwa browser tidak akan pernah membuat permintaan HTTP tidak terenkripsi ke domain tersebut, sehingga melindungi dari serangan downgrade, penghapusan SSL, dan serangan man-in-the-middle sejak kunjungan pertama.
• Verifikasi Pengerasan Browser: Sebelum peluncuran situs web besar, verifikasi bahwa domain Anda ada dalam daftar pramuat Chrome/Chromium HSTS. Tidak seperti HSTS berbasis server (yang memerlukan setidaknya satu kunjungan HTTP untuk mempelajari kebijakannya), domain yang dimuat sebelumnya mendapatkan penerapan HTTPS tingkat browser pada koneksi pertama. Hal ini menghilangkan "kerentanan pemuatan pertama" yang memengaruhi implementasi HSTS standar.
• Penilaian Kesiapan Pramuat: Jika domain Anda ditampilkan sebagai "Tidak Dimuat Sebelumnya" atau "Ditolak", gunakan Pemeriksa Pramuat HSTS untuk memahami alasannya. Alat ini menjelaskan persyaratannya: sertifikat TLS yang valid, pengalihan HTTP-ke-HTTPS permanen, usia maksimal ≥ 31.536.000 detik (1 tahun), arahan includeSubDomains, dan arahan pramuat di header Strict-Transport-Security.
• Verifikasi Cakupan Subdomain: Periksa apakah subdomain tercakup dalam entri pramuat domain induk. Pemeriksa Pramuat HSTS menunjukkan apakah suatu domain tercakup dalam domain induknya (misalnya, app.example.com tercakup dalam example.com). Hal ini penting untuk memverifikasi bahwa semua subdomain di infrastruktur Anda memiliki perlindungan pramuat HSTS.
• Kepatuhan E-niaga & Perbankan: Situs e-niaga, bank, dan situs web apa pun yang menangani data sensitif pengguna harus memverifikasi status pramuat HSTS mereka. Berada dalam daftar pramuat merupakan sinyal kuat bagi pengguna dan regulator bahwa situs ini memperhatikan keamanan HTTPS dengan serius. Banyak kerangka keamanan (PCI DSS, NIST) merekomendasikan atau mewajibkan penerapan HSTS.
• Tolok Ukur Keamanan Kompetitif: Bandingkan adopsi pramuat HSTS di seluruh pesaing di industri Anda. Periksa apakah pesaing utama sudah memuat domainnya, dan gunakan hasilnya untuk menerapkan pramuat HSTS di organisasi Anda. Pemeriksa Pramuat HSTS memudahkan audit domain apa pun dalam hitungan detik.

Daftar pramuat HSTS adalah daftar nama domain berkode keras yang dikelola oleh Google dan dikirimkan bersama kode sumber browser Chrome/Chromium. Ini juga digunakan oleh Firefox, Safari, Edge, dan Opera. Ketika sebuah domain ada dalam daftar ini, browser akan secara otomatis meningkatkan semua koneksi HTTP ke HTTPS sebelum data apa pun dikirim - bahkan pada kunjungan pertama. Hal ini menghilangkan “kerentanan pemuatan pertama” di mana pengguna dapat diserang sebelum menerima header HSTS dari server.

1. HSTS yang digerakkan oleh server: Saat browser pertama kali mengunjungi domain, server dapat mengirimkan header respons Strict-Transport-Security. Browser mengingat kebijakan ini selama durasi yang ditentukan oleh max-age . Setiap kunjungan berikutnya dalam periode tersebut akan menggunakan HTTPS. Namun, kunjungan pertama tidak terlindungi - ini adalah “masalah pemuatan pertama”.
2. HSTS yang dimuat sebelumnya: Domain dalam daftar pramuat dilindungi sejak koneksi pertama. Browser memeriksa daftar internalnya sebelum membuat koneksi apa pun dan menolak mengirimkan lalu lintas HTTP. Tidak diperlukan interaksi server untuk mengaktifkan perlindungan. Ini adalah bentuk penegakan HTTPS terkuat yang pernah ada.
3. Dimuat sebelumnya: Untuk ditambahkan ke daftar, domain harus memenuhi persyaratan ketat: domain harus memiliki sertifikat TLS yang valid, mengalihkan HTTP ke HTTPS secara permanen, dan menyertakan header Strict-Transport-Security dengan usia maksimal ≥ 31.536.000 (1 tahun), includeSubDomains , dan arahan pramuat. Domain tersebut kemudian dikirimkan melalui hstspreload.org untuk ditinjau.

• Dimuat sebelumnya: Domain ada dalam daftar pramuat browser. Semua subdomain secara otomatis ditingkatkan ke HTTPS. Hal ini ditunjukkan dengan lencana perisai hijau.
• Tertunda: Domain telah dikirimkan ke hstspreload.org dan menunggu untuk ditinjau. Proses peninjauan memeriksa apakah domain memenuhi semua persyaratan pramuat. Status ini ditunjukkan dengan lencana perisai kuning.
• Ditolak: Domain telah dikirimkan tetapi tidak memenuhi persyaratan pramuat. Alasan umumnya mencakup usia maksimal yang tidak memadai, tidak adanya includeSubDomains, atau titik akhir HTTP yang tidak mengalihkan ke HTTPS. Status ini ditandai dengan lencana perisai berwarna merah.
• Not Preloaded: Domain tidak ada dalam daftar preload dan belum dikirimkan. Ini adalah keadaan default untuk sebagian besar domain. Status ini ditandai dengan lencana perisai berwarna abu-abu.

Menambahkan domain ke daftar pramuat HSTS merupakan komitmen yang signifikan. Karena daftar tersebut dikodekan ke dalam kode sumber browser, penghapusan dari daftar dapat memakan waktu berbulan-bulan - hal ini memerlukan siklus pembaruan browser. Setelah domain dimuat sebelumnya, browser akan menolak untuk terhubung melalui HTTP, meskipun server berhenti mendukung HTTPS. Ini berarti Anda harus mempertahankan dukungan HTTPS untuk domain Anda tanpa batas waktu setelah pramuat. Pemilik domain hanya boleh mengirimkan ke daftar pramuat setelah memastikan situs mereka dan semua subdomain memiliki konfigurasi HTTPS permanen yang kuat. Untuk menguji dan menentukan staging subdomain, pertimbangkan untuk menggunakan domain terpisah yang tidak dimuat sebelumnya.