Generator Header Preload HSTS
Buat header respons Strict-Transport-Security (HSTS) dari max-age, includeSubDomains, dan preload, lalu periksa apakah hasilnya memenuhi syarat pengajuan ke daftar preload hstspreload.org.
Input
Berapa lama (dalam detik) browser harus selalu menggunakan HTTPS saja. Pengajuan preload membutuhkan minimal 31536000 (1 tahun).
Output
Tempel ini ke konfigurasi header respons server Anda.
Apakah header memenuhi persyaratan direktif hstspreload.org.
Cara lain menggunakan alat ini
REST API
curl -X POST https://api.iotools.cloud/v1/tool/hsts-preload-header-generator \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"maxAge": "31536000",
"includeSubDomains": "true",
"preload": "true"
}'Ganti dengan kunci Anda sendiri dari akun Anda. Bidang alat menjadi isi permintaan — tanpa pembungkus.
Tanyakan ke agen AI
Use the IOTools `hsts-preload-header-generator` tool (HSTS Preload Header Generator) on this input:
YOUR_INPUT_HERETempelkan ini ke agen mana pun yang terhubung ke server MCP IOTools, lalu tambahkan input Anda.
Widget sematan
<iframe
src="https://iotools.cloud/embed/hsts-preload-header-generator/"
width="100%" height="520" frameborder="0" scrolling="no" loading="lazy"
title="Generator Header Preload HSTS — iotools.cloud"
sandbox="allow-scripts allow-forms allow-same-origin allow-downloads allow-popups allow-popups-to-escape-sandbox"
allow="clipboard-write"
style="width:100%;border:1px solid #e5e7eb;border-radius:12px;overflow:hidden"></iframe>
<script src="https://iotools.cloud/embed.js" async></script>Tempelkan ini di halaman Anda sendiri — gratis, tanpa kunci, cukup tautan balik.
| Biaya per panggilan API/MCP | Mulai dari 5 kredit |
|---|---|
| Butuh kredit lebih? | Lihat harga |
Juga tersedia melalui
Panduan
Generator Header Preload HSTS membuat header HTTP respons Strict-Transport-Security yang diformat dengan benar dan memberi tahu Anda secara langsung apakah hasilnya memenuhi syarat untuk daftar preload browser di hstspreload.org. Atur max-age, aktifkan includeSubDomains dan preload, lalu salin header tersebut langsung ke konfigurasi server Anda.
Apa itu HSTS?
HTTP Strict Transport Security (HSTS), yang didefinisikan dalam RFC 6797, adalah header respons yang memerintahkan browser agar hanya terhubung ke situs Anda melalui HTTPS. Setelah browser menerima header Strict-Transport-Security, browser menolak koneksi HTTP biasa ke host tersebut selama max-age — secara otomatis mengubah permintaan http:// menjadi https:// sebelum meninggalkan perangkat. Ini mencegah serangan downgrade protokol, SSL-stripping, dan pembajakan cookie melalui koneksi yang tidak aman.
Apa itu preload HSTS?
Meskipun HSTS aktif, kunjungan pertama pengguna — sebelum header apa pun diterima — masih bisa berjalan melalui HTTP, sehingga membuka celah kecil untuk serangan. Preload menutup celah ini. Domain dalam daftar preload HSTS ditanamkan langsung ke Chrome, Firefox, Safari, Edge, dan browser lain, sehingga diperlakukan hanya-HTTPS sejak permintaan pertama, tanpa perlu kunjungan sebelumnya.
Cara menggunakan alat ini
- Masukkan
max-agedalam detik. Nilai default,31536000, adalah satu tahun — minimum yang diterima untuk preload. - Centang
includeSubDomainsuntuk memperluas kebijakan ke semua subdomain. - Centang
preloaduntuk menandai domain sebagai kandidat daftar preload. - Salin header yang dihasilkan dari kotak output dan tambahkan ke konfigurasi server web atau aplikasi Anda.
Panel Kelayakan Preload memeriksa direktif Anda terhadap aturan pengajuan dan menandai apa pun yang kurang.
Referensi direktif
max-age=<seconds>— wajib. Berapa lama browser menerapkan HTTPS saja untuk host.includeSubDomains— opsional, tetapi wajib untuk preload. Menerapkan kebijakan ke semua subdomain.preload— menyatakan persetujuan untuk ditambahkan ke daftar preload browser.
Apa saja persyaratan hstspreload.org?
Agar diterima, header harus menetapkan max-age minimal 31536000 (satu tahun) dan menyertakan includeSubDomains serta preload. Selain itu, situs harus menyajikan sertifikat HTTPS yang valid dan mengalihkan semua lalu lintas HTTP ke HTTPS pada host yang sama. Alat ini memverifikasi persyaratan direktif; persyaratan sertifikat dan pengalihan harus dikonfirmasi di server Anda sendiri.
Apakah preload bisa dibatalkan?
Tidak mudah. Permintaan penghapusan dapat memakan waktu berbulan-bulan untuk menyebar melalui rilis browser, dan selama itu browser akan menolak fallback HTTP apa pun. Ajukan domain untuk preload hanya setelah setiap subdomain dipastikan dilayani melalui HTTPS.
max-age apa yang sebaiknya saya gunakan?
Mulailah dengan max-age yang pendek (beberapa menit atau jam) saat menguji, agar kesalahan cepat kedaluwarsa. Setelah yakin setiap sumber daya berfungsi melalui HTTPS, naikkan menjadi satu tahun (31536000) atau dua tahun (63072000) dan tambahkan preload.
Apakah alat ini mengajukan domain saya?
Tidak. Semuanya berjalan di browser Anda — alat ini hanya membuat string header dan memeriksa direktif. Ajukan domain sendiri di hstspreload.org setelah server Anda siap.