HTTP Mendefinisikan Request, Response, Method, Dan Status
Client mengirim request yang berisi method, target, header, dan bila diperlukan body. Server mengembalikan response dengan status, header, dan representasi resource. GET, POST, PUT, DELETE, serta method lain memiliki semantics yang berbeda. Status seperti 200, 301, 404, atau 500 memberi informasi mengenai hasil pemrosesan. Semantics ini digunakan oleh HTTP/1.1, HTTP/2, dan HTTP/3 meskipun cara pesan dibawa pada transportnya berbeda.
HTTP bersifat stateless pada level semantics, sehingga setiap request pada dasarnya dapat dipahami sendiri. Website membangun session menggunakan cookie, token, atau mekanisme aplikasi lain di atas HTTP. Sifat ini memungkinkan proxy dan cache bekerja secara umum, tetapi aplikasi tetap perlu merancang autentikasi serta state dengan benar agar data pengguna tidak tercampur.
HTTPS Menambahkan TLS Untuk Melindungi Komunikasi
Pada HTTPS, client dan server melakukan TLS handshake untuk menyepakati parameter keamanan dan membuat key yang melindungi traffic. Sertifikat digunakan sebagai bagian dari autentikasi server terhadap nama yang diakses. Setelah sesi terbentuk, request dan response HTTP dikirim melalui channel terenkripsi. Perlindungan ini dirancang untuk mencegah pihak di jalur jaringan membaca atau mengubah isi komunikasi tanpa terdeteksi, selama konfigurasi serta verifikasi identitas berjalan dengan benar.
TLS handshake tidak hanya mengenkripsi traffic, tetapi juga menegosiasikan parameter dan memverifikasi identitas server. Pada TLS modern, key session diturunkan sehingga traffic aplikasi tidak menggunakan private key sertifikat secara langsung. Sertifikat biasanya diterbitkan oleh certificate authority yang dipercaya browser, dan nama domain pada sertifikat harus sesuai dengan hostname yang dikunjungi.
Sertifikat Valid Tidak Sama Dengan Isi Website Terpercaya
HTTPS membuktikan hubungan antara koneksi dan identitas endpoint sesuai mekanisme sertifikat, bukan bahwa isi situs pasti jujur atau bebas malware. Situs phishing juga dapat menggunakan sertifikat valid untuk domain miliknya sendiri. Karena itu, pengguna tetap perlu memeriksa nama domain, konteks login, sumber tautan, dan reputasi layanan. Ikon gembok sebaiknya dibaca sebagai indikator perlindungan transport, bukan sebagai penilaian keseluruhan terhadap website.
Mixed content terjadi ketika halaman HTTPS mencoba mengambil resource melalui HTTP yang tidak terlindungi. Browser dapat memblokir atau membatasi resource tersebut karena pihak di jalur jaringan berpotensi mengubah konten yang kemudian dimuat ke halaman aman. Karena itu, migrasi ke HTTPS perlu memastikan resource internal dan external juga menggunakan skema yang sesuai.
Versi HTTP Modern Mengubah Transport Tanpa Mengubah Tujuan Dasar HTTPS
HTTP/2 memungkinkan banyak pertukaran berjalan dalam satu koneksi dengan framing biner dan compression header, sedangkan HTTP/3 membawa semantics HTTP melalui QUIC. Perubahan versi ini bertujuan meningkatkan efisiensi dan perilaku jaringan, tetapi HTTPS tetap menggunakan mekanisme keamanan transport yang sesuai. Pengguna biasanya tidak perlu memilih versi secara manual karena browser dan server melakukan negosiasi berdasarkan kemampuan yang tersedia.
HTTP/3 menggunakan QUIC di atas UDP tetapi tetap membawa semantics HTTP yang sama. QUIC menggabungkan fungsi transport dan security secara lebih erat serta mengurangi beberapa masalah head-of-line pada transport TCP untuk stream independen. Namun browser tetap dapat menggunakan HTTP/2 atau HTTP/1.1 jika kondisi jaringan atau dukungan server membuat versi tersebut lebih sesuai.
