PuluhLabs
Zero-Trust Cyber Defense

Komparator & Generator HTTP Security Headers

Amankan antarmuka website perusahaan dari serangan XSS, clickjacking, MIME-sniffing, dan SSL stripping. Dapatkan nilai sempurna Grade A+ dengan cuplikan konfigurasi web server terverifikasi.

Konsultasi Gratis via WhatsAppLihat Semua Layanan & Paket
Kalkulator ROI performa web dan alat estimasi biaya PuluhLabs
PULUHLABS // PERANGKAT AUDIT & KALKULATOR
Kembali ke Direktori Tools
A+
Hardening Security Rating
7 dari 7 Header Keamanan Aktif
Sesuai standar OWASP & Perbankan Nasional
Mitigasi XSS & Injection
TERLINDUNGI
Via Content-Security-Policy
Proteksi Man-in-the-Middle
PRELOAD AKTIF
Via HSTS 2-Year Header

Matriks Parameter Header Keamanan Respons HTTP

Strict-Transport-SecurityCRITICAL

Memaksa browser hanya menggunakan koneksi HTTPS terenkripsi selama 2 tahun dan mendaftarkan domain ke daftar preload global browser.

Nilai: max-age=63072000; includeSubDomains; preload
Mencegah: SSL Stripping & Serangan Man-in-the-Middle (MitM)
Content-Security-PolicyCRITICAL

Membatasi sumber eksekusi skrip, stylesheet, dan frame hanya dari domain terverifikasi menggunakan token kriptografi nonce.

Nilai: default-src 'self'; script-src 'self' 'strict-dynamic'; object-src 'none'; base-uri 'self'; frame-ancestors 'none';
Mencegah: Cross-Site Scripting (XSS) & Clickjacking
X-Frame-OptionsHIGH

Mencegah situs dibuka di dalam elemen iframe oleh domain eksternal berbahaya.

Nilai: DENY
Mencegah: Clickjacking & UI Redressing
X-Content-Type-OptionsHIGH

Memaksa browser mematuhi MIME type yang dideklarasikan oleh server dan melarang sniffing konten.

Nilai: nosniff
Mencegah: MIME Confusion Attacks & Malicious Polyglot Files
Referrer-PolicyHIGH

Melindungi kerahasiaan parameter URL sensitif seperti token verifikasi saat pengguna berpindah ke tautan eksternal.

Nilai: strict-origin-when-cross-origin
Mencegah: Information Leakage & Data Exfiltration
Permissions-PolicyMEDIUM

Menonaktifkan akses hardware sensitif seperti mikrofon, kamera, dan pelacak GPS jika tidak diperlukan oleh aplikasi.

Nilai: camera=(), microphone=(), geolocation=(), payment=()
Mencegah: Unauthorized Sensor Access & Malicious Third-Party Trackers
Cross-Origin-Opener-PolicyMEDIUM

Mengisolasi konteks tab penjelajahan untuk mencegah kebocoran memori akibat eksploitasi CPU modern.

Nilai: same-origin
Mencegah: Spectre CPU Vulnerability & Cross-Origin Window Tampering

Cuplikan Konfigurasi Siap Pasang

# Nginx Hardened Security Headers Config (PuluhLabs Standard)
server {
    listen 443 ssl http2;
    server_name example.com;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'strict-dynamic'; object-src 'none'; base-uri 'self'; frame-ancestors 'none';" always;
    add_header X-Frame-Options "DENY" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;
    add_header Cross-Origin-Opener-Policy "same-origin" always;
}

Mengapa Header Keamanan Wajib bagi Website Korporat?

Pertahanan Berlapis di Tingkat Browser

Header respons HTTP adalah instruksi langsung ke mesin peramban pengguna untuk mengaktifkan mekanisme sandbox internal. Bahkan jika ada celah skrip pihak ketiga, CSP yang ketat mencegah pengiriman data rahasia ke server penyerang.

Kriteria Audit VAPT & ISO 27001

Ketiadaan header HSTS atau X-Frame-Options merupakan temuan berulang berstatus Medium/High dalam laporan audit Vulnerability Assessment and Penetration Testing (VAPT) dan sertifikasi sistem manajemen keamanan informasi.

Nol Dampak terhadap Latensi Server

Menyematkan string header respons HTTP hanya memakan ukuran beberapa ratus byte tanpa beban komputasi CPU tambahan pada server aplikasi atau reverse proxy Nginx.

LayananPortofolioCek SpeedChat WA