Memahami Security Header: Tameng Pertama Keamanan Website
Di dunia web modern yang penuh risiko keamanan seperti XSS, clickjacking, dan pencurian data, memiliki enkripsi SSL saja tidak cukup. Di sinilah peran HTTP Security Headers sangat penting — sebagai baris pertahanan tambahan untuk melindungi pengguna dan server dari berbagai eksploitasi.
Apa Itu Security Header?
Security Header adalah instruksi yang dikirim oleh server ke browser dalam bentuk header HTTP untuk:
-
Mengatur perilaku keamanan halaman,
-
Mencegah pemuatan konten tidak sah,
-
Memperkuat perlindungan terhadap serangan berbasis web.
Header ini ditambahkan di response server (misalnya lewat .htaccess, Nginx config, atau framework backend).
Jenis-Jenis HTTP Security Header
Berikut adalah daftar security header penting yang wajib diketahui:
1. Strict-Transport-Security (HSTS)
Mewajibkan browser selalu menggunakan HTTPS, bahkan saat pengguna mengetik URL tanpa “https://”.
Contoh:
Strict-Transport-Security: max-age=31536000; includeSubDomains
2. Content-Security-Policy (CSP)
Membatasi dari mana browser boleh memuat konten seperti JS, CSS, gambar, iframe, dsb.
Ini mencegah Cross-Site Scripting (XSS) dan pemuatan konten dari sumber berbahaya.
Contoh:
3. X-Frame-Options
Melindungi dari clickjacking attack dengan mencegah halaman dimuat dalam <iframe>.
Contoh:
X-Frame-Options: SAMEORIGIN
4. X-Content-Type-Options
Mencegah browser menebak (MIME-sniffing) jenis file, yang bisa berbahaya.
Contoh:
X-Content-Type-Options: nosniff
5. Referrer-Policy
Mengatur seberapa banyak informasi URL yang dikirim saat pengguna berpindah halaman.
Contoh:
Referrer-Policy: strict-origin-when-cross-origin
6. Permissions-Policy (dulu Feature-Policy)
Mengontrol akses ke fitur-fitur sensitif seperti kamera, mikrofon, geolokasi, dll.
Contoh:
Permissions-Policy: geolocation=(), camera=(), microphone=()
Cara Menambahkan Security Header
Jika menggunakan Apache (.htaccess):
<IfModule mod_headers.c>
Header always set Strict-Transport-Security “max-age=31536000; includeSubDomains”
Header always set Content-Security-Policy “default-src ‘self’;”
Header set X-Frame-Options “SAMEORIGIN”
Header set X-Content-Type-Options “nosniff”
Header set Referrer-Policy “strict-origin-when-cross-origin”
Header set Permissions-Policy “geolocation=(), camera=(), microphone=()”
</IfModule>
Jika menggunakan Nginx:
add_header Strict-Transport-Security “max-age=31536000; includeSubDomains” always;
add_header Content-Security-Policy “default-src ‘self’;” always;
add_header X-Frame-Options “SAMEORIGIN” always;
add_header X-Content-Type-Options “nosniff” always;
add_header Referrer-Policy “strict-origin-when-cross-origin” always;
add_header Permissions-Policy “geolocation=(), camera=(), microphone=()” always;
Bagaimana Mengeceknya?
Kamu bisa mengecek apakah website sudah memakai security header lewat:
-
Chrome DevTools → Tab Network → Klik file → Tab Headers
Penutup
Security Header mungkin terdengar teknis, tapi dampaknya sangat besar. Dengan konfigurasi yang tepat, kamu bisa menghindari banyak risiko keamanan hanya dengan menambahkan beberapa baris konfigurasi server.
Ingat: keamanan bukan fitur, tapi fondasi.
