HTTP Security Headers: 7 Pengaturan Penting untuk Website

HTTPS melindungi data ketika berpindah antara browser dan server, tetapi bukan satu-satunya pengaturan yang membantu menjaga keamanan halaman web. HTTP security headers memungkinkan server memberi instruksi kepada browser tentang cara menangani koneksi, sumber daya, dan konteks halaman. Konfigurasi yang tepat dapat mengurangi risiko tertentu, sementara header yang salah bisa mengganggu login, pembayaran, atau layanan pihak ketiga.

1. Strict-Transport-Security (HSTS)

HSTS meminta browser menggunakan HTTPS untuk mengakses domain selama periode yang ditentukan. Ini membantu mengurangi risiko downgrade ke HTTP setelah browser menerima kebijakan tersebut melalui koneksi HTTPS yang valid. Aktifkan hanya setelah seluruh halaman dan subdomain yang relevan siap menggunakan HTTPS. Opsi includeSubDomains dan preload memiliki konsekuensi yang lebih luas, jadi jangan menambahkannya tanpa audit.

2. Content-Security-Policy (CSP)

CSP membatasi sumber skrip dan sumber daya yang diperbolehkan browser. Mulailah dengan mode Content-Security-Policy-Report-Only, pelajari laporan pelanggaran, lalu tegakkan aturan yang sudah diuji. Hindari kebijakan terlalu longgar dan jangan menganggap CSP sebagai pengganti pengodean output yang aman. Panduan lengkap ada di artikel Content Security Policy untuk mengurangi risiko XSS.

3. X-Content-Type-Options

Nilai nosniff meminta browser tidak menebak tipe MIME tertentu. Ini bermanfaat ketika server sudah mengirim header Content-Type yang benar. Periksa aset CSS, JavaScript, dan unduhan agar tipe konten yang dikirim sesuai dengan isi sebenarnya.

4. Referrer-Policy

Header ini mengatur informasi URL perujuk yang dapat dikirim saat pengunjung berpindah ke halaman lain. Kebijakan seperti strict-origin-when-cross-origin dapat membatasi detail URL yang dikirim ke origin lain sambil tetap menyediakan informasi origin dalam kondisi tertentu. Pilih kebijakan dengan mempertimbangkan kebutuhan analitik dan privasi.

5. Permissions-Policy

Permissions-Policy dapat membatasi fitur browser seperti kamera, mikrofon, atau geolokasi. Nonaktifkan fitur yang tidak dibutuhkan, tetapi pastikan fitur yang benar-benar digunakan tetap berfungsi. Header ini tidak menggantikan permintaan izin pengguna dalam browser.

6. Frame-Ancestors melalui CSP

Direktif frame-ancestors mengatur origin yang diperbolehkan menyematkan halaman dalam frame dan membantu mengurangi risiko clickjacking. Gunakan direktif CSP ini untuk kebijakan modern. Jangan memasang beberapa kebijakan yang saling bertentangan tanpa memahami bagaimana browser menggabungkannya.

7. Cache-Control untuk Data Sensitif

Cache-Control bukan pengganti header keamanan browser, tetapi sangat penting untuk mencegah halaman sensitif disimpan dalam cache yang tidak sesuai. Respons yang memuat data privat mungkin membutuhkan kebijakan seperti no-store; halaman publik yang statis justru sering mendapat manfaat dari cache. Tentukan sesuai sifat data dan pola aplikasi.

Langkah Audit yang Aman

1. Ambil respons dari homepage, login, halaman admin, dan halaman dengan formulir.
2. Periksa header respons dengan DevTools atau pemindai header tepercaya.
3. Dokumentasikan sumber daya dan fungsi yang bergantung pada layanan pihak ketiga.
4. Uji perubahan di staging atau mode laporan sebelum menerapkan ke semua halaman.
5. Uji ulang login, pembayaran, analitik, dan fitur penting setelah perubahan.

Jika situs berada di balik CDN atau reverse proxy, pastikan hanya satu lapisan yang bertanggung jawab atas setiap header bila memungkinkan, agar tidak ada nilai ganda atau aturan yang bertentangan. Baca pula panduan CDN dan dasar perlindungan website dari DDoS.

Kesimpulan

Mulailah dengan header yang relevan dan dapat diuji, bukan menyalin konfigurasi tanpa menilai kebutuhan situs. HSTS, CSP, Referrer-Policy, dan Permissions-Policy menangani risiko yang berbeda. Keamanan yang efektif bergantung pada penerapan bertahap, pengujian, dan pemantauan setelah perubahan.

Referensi

Baca dokumentasi HTTP headers di MDN Web Docs serta panduan HSTS.