Web Application Security Fundamentals #09: HTTPS, TLS, dan Certificate

HTTPS adalah HTTP melalui TLS. Ia membantu confidentiality, integrity, dan server authentication selama transport, tetapi tidak memperbaiki vulnerability pada application logic.

Etika dan scope: praktikkan hanya pada local lab, aplikasi milik sendiri, atau sistem yang memberikan izin tertulis. Tutorial ini tidak mengizinkan pengujian terhadap target publik.

Tujuan pembelajaran

• menjelaskan perlindungan dan batas HTTPS
• memahami certificate validation dan TLS termination
• menggunakan HSTS secara hati-hati
• memeriksa transport configuration tanpa klaim absolut

Prasyarat

Gunakan browser modern, Developer Tools, dan local lab. Catat versi tool serta environment ketika menguji. Output contoh bersifat ilustratif kecuali dinyatakan sebagai hasil pengujian; jangan menganggap perilaku satu stack berlaku universal.

1. Kenali tujuan TLS

Client memverifikasi certificate chain, hostname, validity, dan parameter koneksi. TLS kemudian melindungi data selama perjalanan ke endpoint tempat TLS berakhir. Setelah termination, hop internal perlu dianalisis terpisah.

2. Periksa endpoint milik sendiri

curl --verbose https://example.test/ --output /dev/null

Jangan memakai -k atau --insecure sebagai solusi production; opsi itu menonaktifkan verification penting. Output verbose dapat mengandung metadata sensitif.

3. Redirect HTTP ke HTTPS

Redirect membantu usability, tetapi request HTTP pertama belum mendapat perlindungan TLS. HSTS memberi tahu browser untuk menggunakan HTTPS pada kunjungan berikutnya. Deployment HSTS harus bertahap karena konfigurasi salah dapat memutus akses.

Strict-Transport-Security: max-age=31536000; includeSubDomains

Jangan menambahkan includeSubDomains atau preload sebelum memastikan seluruh subdomain mendukung HTTPS secara permanen.

4. Mixed content

Halaman HTTPS yang memuat resource insecure dapat merusak security posture. Gunakan URL HTTPS dan periksa browser console. Jangan hanya mengandalkan automatic upgrade.

5. TLS termination dan forwarded scheme

Reverse proxy harus meneruskan informasi scheme secara tepercaya. Aplikasi perlu mengonfigurasi trusted proxy agar tidak membuat redirect loop atau menerima spoofed forwarding header.

6. Certificate lifecycle

Monitor expiration, renewal failure, domain ownership, private-key protection, dan revocation scenario. Automation mengurangi human error, tetapi alert renewal tetap perlu diuji.

7. Jangan salah menyimpulkan

HTTPS tidak mencegah Broken Access Control, XSS, SQL injection, insecure upload, atau malicious code yang berjalan di endpoint. Ia melindungi channel, bukan seluruh aplikasi.

Kesalahan umum

• Menonaktifkan certificate verification.
• Menganggap trafik internal tidak perlu threat model.
• Mengaktifkan HSTS preload tanpa readiness.
• Membiarkan mixed content.
• Menyimpan private key di repository.

Quality gate sebelum diterapkan

• [ ] Scope dan asset sudah jelas.
• [ ] Control dijalankan di sisi yang menjadi security boundary.
• [ ] Positive test dan negative test tersedia.
• [ ] Error tidak membocorkan secret atau detail internal.
• [ ] Logging cukup untuk detection tanpa merekam credential.
• [ ] Versi dependency dan dokumentasi dicatat.
• [ ] Tidak ada klaim “100% aman”.
• [ ] Perubahan diuji pada staging atau local lab.

Kesimpulan

TLS melindungi channel. Tutorial berikutnya menambah browser-side defense melalui HTTP security response headers.

Referensi resmi

• OWASP Top 10:2025 — diakses 22 Agustus 2026.
• OWASP Cheat Sheet Series — diakses 22 Agustus 2026.
• OWASP Web Security Testing Guide — Stable — diakses 22 Agustus 2026.
• MDN Web Security — diakses 22 Agustus 2026.