HTTP vs HTTPS: Apa yang Sebenarnya Ditambahkan Huruf 'S' Itu

Dua-duanya sudah kamu lihat seumur hidup di kolom alamat: http:// dan https://. Yang satu ada gembok kecilnya, yang satu lagi malah ditandai “Tidak aman” dengan warna merah. Kebanyakan orang tahu yang kedua itu “yang aman”, dan berhenti sampai di situ. Tapi apa sebenarnya yang beda? Ini bukan website yang berbeda, bukan server yang berbeda, dan bukan jenis halaman yang berbeda — ini protokol yang sama, cuma ditambahi satu lapisan ekstra di sekelilingnya.

Lapisan ekstra itulah seluruh inti ceritanya, dan layak kamu pahami dengan benar. Begitu kamu lihat apa yang sebetulnya dikerjakan huruf “S” itu — dan yang sama pentingnya, apa yang tidak dia kerjakan — banyak keputusan soal membangun dan mengelola website berhenti terasa seperti takhayul dan mulai masuk akal.

HTTP itu sebenarnya apa

HTTP itu singkatan dari HyperText Transfer Protocol. Lepas dari namanya yang keren, ini cuma sekumpulan aturan yang dipakai browser dan server untuk saling bicara. Saat browser-mu mau sebuah halaman web, dia mengirim permintaan HTTP. Server membalas dengan jawaban HTTP. Percakapan minta-dan-jawab itulah HTTP, dan itu fondasi dari seluruh web.

Sebuah permintaan sebagian besar cuma teks biasa. Kira-kira begini yang dikirim browser-mu saat kamu membuka sebuah halaman:

GET /pricing HTTP/1.1
Host: www.example.com
User-Agent: Mozilla/5.0 ...
Accept: text/html

Lalu server menjawab dengan sesuatu seperti ini:

HTTP/1.1 200 OK
Content-Type: text/html
Content-Length: 1820

<!DOCTYPE html>
<html> ... halamannya ... </html>

Itulah HTTP secara singkat: sebuah metode (GET), sebuah path (/pricing), beberapa header, dan sebuah body. Mudah dibaca, bisa ditebak, dan sudah jadi tulang punggung web sejak awal 1990-an. Kalau kamu mau lihat mesin yang menjawab permintaan-permintaan ini, itu dibahas di cara kerja web server.

Cuma ada satu masalah dengan HTTP polos: dia berjalan secara terbuka.

Masalahnya: HTTP mengirim semuanya sebagai teks biasa

Saat kamu mengirim permintaan HTTP, dia tidak langsung pindah seketika dari laptopmu ke server. Dia melompat melewati banyak mesin di sepanjang jalan — router-mu, penyedia internetmu, berbagai perangkat jaringan, kadang Wi-Fi publik di kafe. Dengan HTTP polos, setiap lompatan tadi bisa membaca seluruh pesannya, kata per kata, karena tidak ada yang diacak.

Bayangkan saja seperti mengirim kartu pos. Semua orang yang memegangnya di perjalanan bisa membaliknya dan membaca apa yang kamu tulis.

   KAMU                                              SERVER
    │                                                  │
    │  "POST /login  user=jane  pass=Secret123"        │
    │ ───────[ Wi-Fi kafe ]───[ ISP ]───[ ... ]──────► │
    │            ▲          ▲         ▲                 │
    │         bisa baca  bisa baca  bisa baca           │
    │         semua      semua      semua               │

Jadi dengan HTTP, saat kamu mengetik password, mengisi nomor kartu kredit, atau login ke apa pun, data itu terlihat oleh siapa saja yang menempatkan diri di sepanjang rutenya. Lebih parah lagi, orang jahat di tengah jalan bisa mengubah jawaban sebelum sampai ke kamu — menyelipkan konten palsu, skrip berbahaya, atau iklan curang — dan kamu tidak punya cara untuk tahu bahwa halamannya sudah dioprek. Inilah yang orang maksud dengan serangan “man-in-the-middle”.

Persis celah itulah yang dibangun HTTPS untuk menutupnya.

Apa yang ditambahkan HTTPS

HTTPS itu HTTP Secure. Dan ini bagian yang sering bikin orang kaget: di bawahnya itu HTTP yang sama persis. Permintaan GET yang sama, header yang sama, jawaban yang sama. HTTPS tidak mengubah bahasanya — dia mengubah saluran tempat bahasa itu lewat. Dia menjalankan HTTP di dalam sebuah terowongan terenkripsi yang dibangun oleh protokol bernama TLS (Transport Layer Security; kamu mungkin masih dengar nama lamanya, SSL).

Jadi rumusnya sederhana:

HTTPS = HTTP + enkripsi TLS

Terowongan terenkripsi itu mengerjakan tiga tugas sekaligus, dan ketiganya penting:

Enkripsi — datanya diacak supaya siapa pun yang mengintip koneksimu cuma melihat gibberish yang tak bermakna, bukan password atau pesanmu. Kartu pos tadi berubah jadi kotak tertutup yang terkunci.
Integritas — datanya tidak bisa diam-diam diubah di tengah jalan. Kalau satu byte saja dioprek, koneksinya putus alih-alih menyerahkan halaman yang sudah dipalsukan. Kamu dapat yang asli, atau tidak sama sekali.
Autentikasi — browser-mu memverifikasi bahwa dia memang benar-benar bicara dengan server asli untuk domain itu, bukan penyamar yang pura-pura jadi dia. Ini dilakukan lewat sebuah sertifikat yang ditunjukkan server, ditandatangani oleh otoritas tepercaya.

Yang ketiga itulah bagian yang paling sering dilewatkan orang. Enkripsi saja tidak cukup — kamu juga perlu yakin sedang mengenkripsi dengan siapa. Sertifikat adalah cara server membuktikan “Aku ini benar-benar example.com”, supaya penyerang tidak bisa begitu saja berdiri di tengah dengan terowongan terenkripsinya sendiri.

Gembok artinya 'privat', bukan 'tepercaya'

Salah paham yang umum: ikon gembok berarti koneksinya terenkripsi dan kamu benar-benar bicara dengan domain di kolom alamat — itu bukan berarti website-nya sendiri jujur atau aman. Situs penipu bisa saja punya gembok HTTPS yang sah sempurna. HTTPS menjamin tidak ada yang menguping atau menyamar sebagai domain itu; dia tidak menjanjikan apa pun soal apakah orang yang mengelola domain itu baik. Pisahkan dua hal ini.

Bagaimana koneksi aman itu disiapkan

Sebelum ada satu halaman web pun yang dipertukarkan, browser dan server melakukan negosiasi cepat yang disebut TLS handshake. Kamu tidak pernah melihatnya, dan ini terjadi dalam sepersekian detik, tapi kira-kira begini bentuknya:

   BROWSER                                   SERVER
      │                                          │
      │  1. "Halo — yuk ngobrol aman"            │
      │ ───────────────────────────────────────► │
      │                                          │
      │  2. sertifikat + kunci publik            │
      │ ◄─────────────────────────────────────── │
      │      (browser mengecek sertifikatnya     │
      │       sah dan ditandatangani sebuah CA)  │
      │                                          │
      │  3. sepakati satu kunci rahasia bersama  │
      │ ◄──────────────────────────────────────► │
      │                                          │
      │  4. mulai sekarang, semuanya terenkripsi │
      │ ◄═══════════════════════════════════════►│
      │      (permintaan HTTP biasa mengalir di  │
      │       dalamnya)                          │

Kira-kira begini: browser bilang halo, server menunjukkan sertifikat-nya untuk membuktikan identitasnya, browser mengecek sertifikat itu terhadap daftar Certificate Authority tepercaya yang sudah dia kenal, lalu kedua sisi menyepakati sebuah kunci rahasia. Sejak titik itu, setiap permintaan dan jawaban HTTP dienkripsi dengan kunci tadi. Handshake terjadi sekali per koneksi, baru setelah itu data halaman yang sebenarnya mengalir dengan aman di atasnya.

Kalau kamu mau seluruh mekanika soal sertifikat, TLS, dan bagaimana handshake itu benar-benar bekerja di balik layar, itu pembahasan tersendiri: SSL, TLS, dan HTTPS.

Apa yang dilindungi HTTPS — dan apa yang tidak

Di sinilah banyak kebingungan bersarang, jadi mari kita tegas. HTTPS melindungi data selama dia bergerak antara browser-mu dan server. Itu tugasnya, dan dia mengerjakannya dengan baik.

Yang dilindungi HTTPS:

Isi dari setiap permintaan dan jawaban — password, isian form, konten halaman, cookie.
Halaman atau data persis mana yang kamu minta di situs itu (path, body, header-nya).
Koneksi dari diubah diam-diam oleh siapa pun di tengah jalan.
Kamu dari ditipu sehingga bicara dengan server penyamar untuk domain itu.

Yang tidak dilakukan HTTPS:

Dia tidak menyembunyikan website mana yang kamu kunjungi. Pengamat jaringan biasanya masih bisa melihat bahwa kamu terhubung ke example.com, cuma tidak tahu kamu ngapain di sana.
Dia tidak melindungi data setelah sampai. Server tetap menerima data mentahmu dan bisa menyimpannya, mencatatnya, atau membocorkannya. HTTPS mengamankan jalannya, bukan gudangnya.
Dia tidak membuat situs jadi jujur atau bebas bug. Seperti dibilang tadi, penipu juga pakai HTTPS.
Dia tidak melindungimu dari password lemah, phishing, atau malware — itu masalah yang sama sekali berbeda.

HTTPS itu ujung-ke-ujung di jalur kabel, bukan ujung-ke-ujung di aplikasimu

HTTPS mengenkripsi data antara browser dan server yang dia hubungi. Tapi sistem sungguhan sering punya lompatan lain di belakang server itu — layanan internal, database, API pihak ketiga. HTTPS di pintu depan tidak otomatis mengamankan perjalanan internal tadi. Anggap HTTPS sebagai hal wajib, tapi bukan keseluruhan cerita keamanan; apa yang terjadi setelah permintaan mendarat adalah serangkaian keputusan terpisah yang tetap harus kamu ambil dengan sengaja.

Kenapa sekarang semuanya harus HTTPS

Dulu cuma halaman “sensitif” — login, checkout — yang repot-repot pakai HTTPS, sementara sisanya tetap di HTTP polos demi hemat tenaga. Cara berpikir itu sudah lama mati. Sekarang standarnya sederhana: HTTPS di mana-mana, untuk setiap halaman. Ada beberapa alasan yang mendorong seluruh web ke arah itu.

Browser aktif mempermalukan HTTP. Browser modern menandai halaman http:// polos sebagai “Tidak aman” dan makin sering memperingatkan atau memblokir saat kamu mengirim data lewatnya. Itu saja sudah cukup bikin pengunjung kabur.
Sekarang gratis dan gampang. Dulu sertifikat butuh biaya dan tenaga. Otoritas sertifikat yang gratis dan otomatis mengubah itu total — mendapatkan dan memperpanjang sertifikat sekarang jadi tugas latar belakang, bukan pembelian.
Mesin pencari dan fitur baru memihaknya. Mesin pencari memperlakukan HTTPS sebagai sinyal peringkat, dan banyak fitur browser modern (dari service worker sampai API tertentu) menolak jalan di koneksi yang tidak aman.
Bahkan halaman “biasa” pun butuh. Halaman tanpa login pun tetap dimuat lewat jaringan, tempat seseorang bisa menyuntikkan skrip berbahaya ke dalam jawabannya. Enkripsi dan integritas melindungi setiap halaman, bukan cuma yang ada form-nya.

Dalam praktiknya, situs juga mengalihkan HTTP ke HTTPS secara otomatis — kalau ada yang mengetik http://, server langsung melemparnya ke versi https:// supaya orang itu tak pernah benar-benar menjelajah lewat saluran yang tidak aman.

Penutup

Ini semuanya dalam satu tempat:

HTTP adalah protokol yang dipakai browser dan server untuk bicara — percakapan minta-dan-jawab yang sederhana dan mudah dibaca, yang menggerakkan web.
HTTP polos mengirim semuanya sebagai teks yang bisa dibaca, jadi siapa pun di sepanjang jalur jaringan bisa membacanya atau bahkan mengubahnya. Seperti mengirim kartu pos.
HTTPS = HTTP + enkripsi TLS. Protokol yang sama, dibungkus terowongan terenkripsi. Dia menambahkan enkripsi (privasi), integritas (tak bisa dioprek diam-diam), dan autentikasi (kamu benar-benar bicara dengan domain itu).
TLS handshake yang cepat dan tak terlihat menyiapkan koneksi aman pakai sertifikat server sebelum ada data halaman yang mengalir.
HTTPS melindungi data saat berjalan, bukan setelah sampai — dan gembok itu artinya privat, bukan tepercaya.
Sekarang aturannya sederhana: HTTPS untuk setiap halaman, karena gratis, sudah jadi standar, diberi nilai lebih, dan melindungi bahkan halaman yang tak punya form sekalipun.

Berikutnya, ada baiknya kita menjauh sedikit dari HTTP itu sendiri dan melihat sistem yang lebih besar yang dia tumpangi — port dan protokol yang membuat berbagai jenis trafik bisa berbagi satu jaringan tanpa saling kusut.