Mengamankan Header HTTP Produksi: CSP, HSTS, dan Permissions Policy

Lapisan Pertahanan Pertama di Header HTTP

Banyak developer mengira sanitasi input di formulir sudah cukup untuk mencegah serangan siber. Nyatanya, header respon HTTP adalah garis pertahanan pertama yang langsung dieksekusi oleh mesin browser untuk menentukan izin lingkungan aplikasi web Anda.

# Konfigurasi Header Keamanan pada Nginx
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Menyusun Content Security Policy (CSP) Tanpa Merusak Aplikasi

CSP adalah aturan ketat yang memberi tahu browser domain mana saja yang diizinkan untuk memuat skrip, font, gaya CSS, dan koneksi websocket:

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-rAnd0m123'; style-src 'self' 'unsafe-inline'; img-src 'self' https://images.unsplash.com data:; connect-src 'self' https://api.domain.com;

Dengan menerapkan CSP yang benar, skrip berbahaya yang berhasil disuntikkan oleh pihak ketiga tidak akan pernah dieksekusi oleh browser korban.