devpack
EnglishEspañolPortuguêsBahasa IndonesiaFrançaisРусскийDeutschTiếng Việt
Audit Situs

Cek Security Headers

Beri nilai header keamanan HTTP sebuah situs dari A+ sampai F, lihat header apa saja yang belum ada beserta alasannya, lalu salin snippet konfigurasi siap pakai untuk Nginx, Apache, Netlify, Vercel, atau Cloudflare.

Diperbarui

Yang dinilai oleh Security Headers Checker

Masukkan URL publik di atas lalu tekan Enter atau Ctrl + Enter.

  • Strict-Transport-Security (HSTS)
  • Content-Security-Policy
  • X-Content-Type-Options
  • X-Frame-Options / frame-ancestors
  • Referrer-Policy
  • Permissions-Policy
  • Header yang membocorkan versi
  • Snippet konfigurasi untuk 5 platform
Coba:

Tool ini mengambil URL publik yang kamu masukkan dari server kami. Hasilnya disimpan sementara di memori selama beberapa menit dan tidak pernah disimpan di database.

Apakah alat ini membantu?0.0 0 penilaian
Buat header CORS untuk ExpressNginx, Apache, Netlify, Vercel, Next.js atau Workers, lalu uji preflight URL mana pun untuk melihat alasan request diblokir.Generator & Tester Header CORS →

Cara menggunakan Cek Security Headers

  1. Masukkan URL website lalu klik Pindai header. Kami mengikuti redirect dan menganalisis respons akhirnya.
  2. Baca nilai dan tabel per header. Setiap header yang gagal menjelaskan risikonya dan nilai yang disarankan.
  3. Pilih platform kamu (Nginx, Apache, Netlify, Vercel, atau Cloudflare) lalu salin snippet yang dibuat untuk header yang belum ada.
  4. Deploy, lalu pindai lagi. Uji Content-Security-Policy yang ketat dalam mode Report-Only dulu supaya script kamu tidak rusak.

Apa itu header keamanan HTTP?

Header keamanan adalah header respons HTTP yang memberi tahu browser untuk mengaktifkan proteksi bawaan: selalu gunakan HTTPS, menolak merender halaman di dalam frame yang berbahaya, hanya menjalankan script dari sumber tepercaya, tidak menebak tipe file, dan membatasi informasi yang bocor lewat header Referer. Menambahkannya tidak membutuhkan biaya, dan di sebagian besar kasus tidak perlu mengubah kode. Header ini menutup banyak jenis serangan, seperti clickjacking, downgrade protokol, dan berbagai payload cross-site scripting (XSS).

Bagaimana nilai dihitung

Setiap dari enam header memiliki poin. Total (0–100) dipetakan ke nilai: A+ mulai dari 90, A dari 75, B dari 60, C dari 45, D dari 30, E dari 15, selain itu F. Situs yang tidak melayani HTTPS dibatasi maksimal 20 poin.

HeaderPoinMelindungi dariNilai yang disarankan
Strict-Transport-Security25Downgrade ke HTTP, SSL stripping, pencurian cookie di Wi-Fi publikmax-age=31536000; includeSubDomains (minimal 180 hari agar lolos)
Content-Security-Policy25XSS, injeksi data, script pihak ketiga yang tidak diinginkanKebijakan yang disesuaikan dengan situs kamu, misalnya mulai dari default-src 'self'
X-Content-Type-Options15MIME sniffing yang mengubah unggahan menjadi script yang bisa dieksekusinosniff
X-Frame-Options15Clickjacking lewat iframe tersembunyiSAMEORIGIN, atau CSP frame-ancestors 'self'
Referrer-Policy10Kebocoran URL lengkap (dengan token atau kata pencarian) ke situs lainstrict-origin-when-cross-origin
Permissions-Policy10Konten tertanam yang menyalahgunakan kamera, mikrofon, lokasicamera=(), microphone=(), geolocation=()

Kami juga menandai header yang membocorkan informasi, seperti Server: Apache/2.4.41 atau X-Powered-By: PHP/8.1. Nomor versi yang tepat membantu penyerang mencocokkan kerentanan yang sudah dikenal, jadi hapus atau persingkat header tersebut.

Menambahkan header di platform populer

Setelah pemindaian, tool ini membuat snippet yang hanya berisi header yang belum ada: add_header … always; untuk Nginx, Header always set untuk Apache (.htaccess atau vhost), file _headers untuk Netlify dan Cloudflare Pages, array headers di vercel.json, serta Cloudflare Worker atau Transform Rule untuk situs di belakang Cloudflare.

Webflow, Squarespace, Wix, dan builder hosting sejenis umumnya tidak mengizinkan pengaturan header respons kustom di paket standar. Solusi yang lazim adalah memasang reverse proxy di depan situs, misalnya mengarahkan domain lewat Cloudflare lalu menambahkan header dengan Transform Rule atau Worker.

Terapkan CSP dan HSTS dengan hati-hati

Content-Security-Policy yang ketat bisa memblokir analitik, widget chat, atau inline script. Terapkan dulu sebagai Content-Security-Policy-Report-Only, pantau konsol browser untuk pelanggaran, dan perketat kebijakannya sebelum diberlakukan. HSTS disimpan di cache browser selama seluruh max-age, jadi mulailah dengan nilai pendek (misalnya satu hari) jika subdomain mungkin masih membutuhkan HTTP biasa. Untuk bagian respons lainnya, periksa setiap header dengan HTTP Header Checker dan verifikasi sertifikat dengan SSL Checker.

Juga dicari sebagai: hsts checker, csp checker, cek header http keamanan, x-frame-options, content security policy, scanner header website, security headers online.

Tool yang cocok dipakai bersama Cek Security Headers

  • Generator & Tester Header CORS — Muncul pesan “has been blocked by CORS policy”?
  • Cek Redirect — Telusuri URL lompatan demi lompatan untuk melihat setiap redirect, kode status dan waktunya, serta pastikan versi http, https, www, dan non-www domainmu semuanya berujung di satu alamat kanonis.
  • Cek SEO & Audit Situs — Tempel URL untuk menjalankan hingga 70 cek SEO on-page plus audit situs lengkap: kecepatan Lighthouse, header keamanan & SSL, data terstruktur, link rusak, robots.txt & crawler AI, dasar aksesibilitas, tracking & persetujuan, SPF/DKIM/DMARC, serta masa berlaku domain.
  • Uji Kecepatan Halaman — Jalankan Google Lighthouse pada URL apa pun untuk tampilan mobile atau desktop.

Pertanyaan yang sering diajukan

Apakah header keamanan memengaruhi SEO?
Tidak secara langsung sebagai faktor peringkat, meskipun HTTPS sendiri adalah sinyal ringan dan HSTS memastikan penggunaannya. Header ini melindungi pengunjung dan reputasi kamu. Situs yang diretas dan menyisipkan spam akan kehilangan peringkat dengan cepat.
Apakah X-XSS-Protection masih diperlukan?
Tidak. Browser modern sudah menghapus XSS auditor yang diatur oleh header ini, jadi header ini tidak dinilai. Gunakan Content-Security-Policy sebagai gantinya. Jika kamu tetap mengirim header ini, nilai yang disarankan adalah X-XSS-Protection: 0.
Bagaimana cara menambahkan header keamanan ke situs Webflow?
Hosting Webflow standar tidak mendukung header respons kustom. Arahkan domain lewat reverse proxy seperti Cloudflare, lalu tambahkan header di sana dengan Transform Rule (Modify Response Header) atau Worker kecil.
Apakah Content-Security-Policy bisa merusak situs saya?
Bisa, jika tidak mencantumkan semua domain tempat script, style, font, dan frame kamu berasal. Mulailah dengan Content-Security-Policy-Report-Only, perbaiki pelanggaran yang dilaporkan, lalu beralih ke header yang diberlakukan.
Kenapa nilai saya berbeda dengan scanner lain?
Scanner memberi bobot berbeda pada setiap header, dan sebagian menilai header tambahan. Enam header di sini adalah kebutuhan dasar yang disepakati secara luas. Tabel per header lebih penting daripada hurufnya.

Tool terkait

apiGenerator & Tester Header CORSMuncul pesan “has been blocked by CORS policy”? Jelaskan siapa saja yang boleh memanggil API kamu (origin,…apiCek HTTP HeaderAmbil URL apa pun dan lihat persis apa yang dikirim server — status code, rantai redirect, dan setiap…apiCek SSLVerifikasi sertifikat HTTPS dalam hitungan detik. Lihat kapan sertifikat berakhir, siapa penerbitnya,…apiCek RedirectTelusuri URL lompatan demi lompatan untuk melihat setiap redirect, kode status dan waktunya, serta…apiCek SEO & Audit SitusTempel URL untuk menjalankan hingga 70 cek SEO on-page plus audit situs lengkap: kecepatan Lighthouse,…apiUji Kecepatan HalamanJalankan Google Lighthouse pada URL apa pun untuk tampilan mobile atau desktop. Lihat skor performa,…