Question 1

Header keamanan apa yang harus dimiliki setiap situs web?

Accepted Answer

Header keamanan paling kritis: Content-Security-Policy (CSP) untuk mencegah XSS, Strict-Transport-Security (HSTS) untuk memaksakan HTTPS, X-Frame-Options atau CSP frame-ancestors untuk mencegah clickjacking, X-Content-Type-Options: nosniff untuk menghentikan MIME sniffing, dan Referrer-Policy untuk mengontrol kebocoran referrer. Permissions-Policy juga semakin penting untuk membatasi akses fitur browser.

Question 2

Apa itu HSTS dan mengapa penting?

Accepted Answer

HTTP Strict Transport Security (HSTS) memberi tahu browser untuk selalu menggunakan HTTPS untuk suatu domain, tidak pernah HTTP, selama durasi yang ditetapkan (max-age). Setelah browser melihat header ini, ia akan menolak terhubung melalui HTTP biasa — bahkan jika pengguna mengetik http:// secara manual. Direktif includeSubDomains memperluas ini ke semua subdomain, dan preload memungkinkan daftar situs dalam daftar preload browser.

Question 3

Apa yang dilakukan header CORS seperti Access-Control-Allow-Origin?

Accepted Answer

Header CORS (Berbagi Sumber Daya Lintas Asal) mengontrol asal mana yang dapat membuat permintaan lintas asal ke server Anda. Access-Control-Allow-Origin menentukan asal yang diizinkan (gunakan asal spesifik, bukan * untuk endpoint yang diautentikasi). Access-Control-Allow-Methods mencantumkan metode HTTP yang diizinkan dan Access-Control-Allow-Headers mencantumkan header permintaan yang diizinkan. Header-header ini diatur pada respons server, bukan permintaan.

Question 4

Bagaimana Cache-Control dan ETag bekerja bersama?

Accepted Answer

Cache-Control menetapkan kebijakan caching (misalnya max-age=3600, no-cache, no-store). ETag adalah sidik jari konten respons. Ketika respons yang di-cache kedaluwarsa, browser mengirim ETag dalam header permintaan If-None-Match. Jika konten tidak berubah, server membalas dengan 304 Not Modified (tanpa body), menghemat bandwidth. Cache-Control: no-cache berarti 'selalu validasi ulang', bukan 'jangan cache'.

Question 5

Apa itu Content-Security-Policy dan bagaimana cara mengaturnya?

Accepted Answer

CSP adalah header respons yang memberi tahu browser sumber skrip, gaya, gambar, dan sumber daya lainnya yang diizinkan untuk dimuat. CSP dasar seperti 'default-src self; script-src self https://cdn.example.com' memblokir semua sumber daya kecuali dari asal Anda sendiri dan CDN yang ditentukan. Mulai dengan Content-Security-Policy-Report-Only untuk menguji tanpa memblokir, lalu beralih ke mode enforcement. Hindari direktif 'unsafe-inline' dan 'unsafe-eval' karena melemahkan perlindungan XSS.

Penganalisis Header HTTP

Pertanyaan yang Sering Diajukan

Comments & Feedback