CDN Security Headers

Menggunakan Security Header HTTP dapat meningkatkan keamanan situs web dan aplikasi serta melindungi dari clickjacking, cross-site scripting (XSS), serta serangan umum lainnya.

Security Header HTTP memungkinkan client dan server menyampaikan informasi tambahan menggunakan permintaan atau respons HTTP yang dapat berdampak pada perilaku akhirnya.

Security Header adalah subset yang memiliki dampak positif pada keamanan website atau aplikasi secara khusus.

Cara menambahkan Security Header HTTP ke situs web

Anda dapat menggunakan fitur ITPanel Security Headers untuk menambahkan header keamanan ke situs web Anda dengan mudah. Untuk menggunakan alat ini:

1. Buka Manage Hosting dan pilih Option > Manage di situs yang ingin anda tambahkan fungsi Security Header.
2. Pilih  ikon Security Header di dalam  bagian CDN.

Ada beberapa header keamanan utama yang dapat anda atur. Kami telah menguraikan apa yang dilakukan setiap Security Header dan dalam skenario apa anda mungkin ingin menggunakan header di bawah ini.

Security Header HTTP yang paling relevan dan cara menggunakannya

1. X-Frame-Options
2. X-Content-Type-Options
3. Referrer-Policy
4. Strict-Transport-Security
5. X-XSS-Protection
6. Content-Security-Policy

X-Frame-Options

Header X-Frame-Options digunakan untuk menunjukkan apakah browser harus diizinkan untuk merender halaman dalam tag iframe atau objek. Situs dapat menggunakan ini untuk menghindari pembajakan klik dengan memastikan bahwa konten mereka tidak disematkan ke situs lain.

Catatan: Keamanan tambahan disediakan hanya jika pengguna yang mengakses dokumen menggunakan browser yang mendukung X-Frame-Options.

Ada dua opsi yang dapat anda gunakan dengan X-Frame-Options:

1. DENY – Halaman tidak dapat ditampilkan dalam frame, terlepas dari situs yang mencoba melakukannya
2. SAMEORIGIN – Halaman hanya dapat ditampilkan dalam frame pada asal yang sama dengan halaman itu sendiri.

Untuk informasi lebih lanjut tentang X-Frame-Options silakan lihat dokumentasi di sini:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options

X-Content-Type-Options

Header X-Content-Type-Options adalah sebuah penanda yang digunakan oleh server untuk menunjukkan bahwa jenis MIME di header Content-Type tidak boleh diubah. Ini adalah cara untuk memilih keluar dari jenis MIME mengendus atau mengatakan bahwa jenis MIME dikonfigurasi dengan sengaja.

Hanya ada satu opsi dengan X-Content-Type-Options, nosniff, ini memblokir permintaan jika tujuan permintaan adalah gaya tipe dan jenis MIME bukan teks / css, atau skrip tipe dan jenis MIME bukan jenis MIME JavaScript.

Untuk informasi lebih lanjut tentang X-Content-Type-Options silakan lihat dokumentasi di sini: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Content-Type-Options

Referrer-Policy

Header Referrer-Policy mengontrol berapa banyak informasi perujuk, yang dikirim menggunakan header Referer, harus disertakan dengan permintaan.

Opsi yang dapat Anda gunakan dengan header Referrer-Policy adalah sebagai berikut:

1. no-referrer – Header Perujuk akan dihilangkan seluruhnya. Tidak ada informasi perujuk yang dikirim bersama dengan permintaan.
2. no-referrer-when-downgrade – Send the origin, path, and querystring di Referer Ketika tingkat keamanan protokol tetap sama atau meningkat. Ini termasuk HTTP to HTTP, HTTP to HTTPS dan HTTPS ke HTTPS tetapi tidak termasuk HTTPS ke HTTP dan HTTPS ke file.
3. origin – Kirim hanya asal di header Perujuk.
4. origin-when-cross-origin – Send the origin, path, dan query string saat melakukan permintaan asal yang sama ke tingkat protokol yang sama. Kirim hanya asal untuk permintaan lintas asal dan permintaan ke tujuan yang kurang aman.
5. same-origin – Send the origin, path, dan query string untuk same-origin requests. Jangan kirim header Perujuk untuk cross-origin requests.
6. strict-origin – Send the only the origin ketika tingkat keamanan protokol tetap sama (HTTPS ke HTTPS). Jangan kirim header Perujuk ke tujuan yang kurang aman (HTTPS ke HTTP).
7. strict-origin-when-cross-origin – Ini adalah default, Ini akan send the origin, path, and querystring Saat melakukan same-origin request. Untuk cross-origin requests itu hanya akan mengirim asal ketika tingkat keamanan protokol tetap sama (HTTPS ke HTTPS). Jangan kirim header Perujuk ke tujuan yang kurang aman (HTTPS ke HTTP).
8. unsafe-url – Send the origin, path, and query string saat melakukan permintaan apa pun, terlepas dari keamanannya.

Note: Kebijakan ini akan membocorkan informasi yang berpotensi pribadi dari URL sumber daya HTTPS ke sumber yang tidak aman. Pertimbangkan dengan cermat dampak pengaturan ini.

Untuk informasi lebih lanjut serta contoh header Referer-Policy, silakan lihat dokumentasi di sini:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy

Strict-Transport-Security

Header Strict-Transport-Security (sering disingkat HSTS) memungkinkan situs web memberi tahu browser bahwa itu hanya boleh diakses menggunakan HTTPS, bukan menggunakan HTTP.

Opsi yang tersedia adalah:

1. max-age= – Yang memungkinkan Anda untuk mengatur waktu dalam hitungan detik bahwa ini harus diingat bahwa itu hanya dapat diakses menggunakan HTTPS.
2. includeSubDomains – Ini adalah parameter opsional dan jika diterapkan, aturan akan berlaku untuk semua subdomain situs juga.

Untuk informasi lebih lanjut tentang Strict-Transport-Security silakan lihat dokumentasi di sini: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security

X-XSS-Protection

Header X-XSS-Protection adalah fitur Internet Explorer, Chrome dan Safari yang menghentikan pemuatan halaman saat mendeteksi serangan cross-site scripting (XSS) yang tercermin. Meskipun perlindungan ini sebagian besar tidak diperlukan di browser modern dengan situs yang telah menerapkan yang kuat Content-Security-Policy yang menonaktifkan penggunaan JavaScript inline (‘unsafe-inline’), mereka masih dapat memberikan perlindungan bagi pengguna browser lama yang belum mendukung Content-Security-Policy.

• 0 – Disables XSS filtering.
• 1 – Enables XSS filtering. Jika cross-site scripting Serangan terdeteksi, browser akan membersihkan halaman.
• 1; mode=block – Enables XSS filtering. Alih-alih membersihkan halaman, browser akan mencegah rendering halaman jika serangan terdeteksi.
• 1; report= (Chromium only) – Enables XSS filtering. Jika cross-site scripting Serangan terdeteksi, browser akan membersihkan halaman dan melaporkan pelanggaran. Ini menggunakan fungsionalitas direktif report-uri CSP untuk mengirim laporan.

Untuk informasi lebih lanjut tentang X-XSS-Protection silakan lihat dokumentasi di sini: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-XSS-Protection

Content-Security-Policy

Header respons HTTP Content-Security-Policy memungkinkan administrator situs web mengontrol sumber daya yang diizinkan dimuat agen pengguna untuk halaman tertentu. Dengan beberapa pengecualian, kebijakan sebagian besar melibatkan penentuan asal server dan titik akhir skrip. Ini membantu menjaga terhadap serangan cross-site scripting.

Untuk daftar lengkap arahan dan opsi, silakan lihat dokumentasi di sini: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy