Apa itu HTTP security headers?

Question

IT Interview Practice · Accepted Answer

**HTTP security headers** adalah response headers yang menginstruksikan browser untuk menerapkan perlindungan keamanan — membantu mempertahankan diri terhadap serangan seperti XSS, clickjacking, dan protocol downgrade. Mereka adalah lapisan pertahanan yang mudah dan berharga untuk aplikasi web.

## Key security headers

```text
CONTENT-SECURITY-POLICY (CSP) → controls what resources/scripts can load/run → a strong
  defense against XSS (restrict script sources; block inline scripts) — the most powerful
STRICT-TRANSPORT-SECURITY (HSTS) → force HTTPS (browser refuses HTTP) → prevents
  downgrade/SSL-stripping attacks
X-CONTENT-TYPE-OPTIONS: nosniff → stop MIME-type sniffing (prevents some attacks)
X-FRAME-OPTIONS / CSP frame-ancestors → prevent CLICKJACKING (block embedding in iframes)
REFERRER-POLICY → control how much referrer info is sent (privacy)
PERMISSIONS-POLICY → control access to browser features (camera, geolocation, etc.)
```

## Example

```text
Content-Security-Policy: default-src 'self'; script-src 'self'
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
```

## Why they matter (defense in depth)

```text
✓ EASY to add (configure on the server/proxy) → significant protection for little effort
✓ DEFENSE IN DEPTH → an extra layer (e.g. CSP mitigates XSS even if escaping is missed)
✓ CLICKJACKING protection (X-Frame-Options), forced HTTPS (HSTS), etc.
⚠️ Not a substitute for secure coding (fix the root causes too); CSP needs careful config
→ A valuable, low-effort security improvement for web apps. (Tools/scanners check these.)
```

## Mengapa ini penting

Memahami HTTP security headers berharga karena mereka menyediakan **lapisan pertahanan yang mudah dan efektif untuk aplikasi web**, sehingga ini adalah pengetahuan keamanan praktis yang berguna.

Security headers menginstruksikan browser untuk menerapkan perlindungan terhadap serangan umum, dan memahami yang utama sangat berguna. **Content-Security-Policy (CSP)** adalah yang paling kuat — mengontrol resource dan script apa yang dapat dimuat dan dijalankan, memberikan pertahanan kuat terhadap XSS (bahkan memitigasinya ketika output escaping terlewatkan). **Strict-Transport-Security (HSTS)** memaksa HTTPS, mencegah downgrade dan SSL-stripping attacks. **X-Frame-Options** (atau CSP frame-ancestors) mencegah **clickjacking** dengan memblokir halaman agar tidak tertanam dalam iframes. **X-Content-Type-Options: nosniff**, Referrer-Policy, dan Permissions-Policy menambahkan perlindungan lebih lanjut.

Memahami header-header ini dan apa yang mereka lindungi adalah pengetahuan praktis.

Memahami **mengapa ini penting** adalah nilai kunci: mereka adalah **mudah ditambahkan** (dikonfigurasi di server/proxy) namun memberikan perlindungan signifikan dengan usaha minimal, dan mereka menerapkan **defense in depth** (lapisan tambahan — misalnya CSP memitigasi XSS bahkan jika kesalahan coding memungkinkannya).

Memahami peringatan penting bahwa **headers bukan pengganti secure coding** (Anda tetap harus memperbaiki akar masalah; CSP memerlukan konfigurasi hati-hati) mencerminkan pemahaman yang seimbang — headers melengkapi, bukan menggantikan, pengembangan yang aman.

Security headers adalah peningkatan berharga dengan usaha rendah yang banyak situs kurang manfaatkan, dan tools/scanners biasanya memeriksa mereka.

Karena security headers memberikan pertahanan in-depth yang mudah dan efektif untuk aplikasi web (melindungi terhadap XSS, clickjacking, downgrade attacks) dengan usaha minimal, dan karena memahami key headers dan nilainya berguna untuk meningkatkan keamanan aplikasi web, memahami HTTP security headers adalah pengetahuan keamanan yang berharga dan relevan secara praktis — lapisan pertahanan web dengan usaha rendah dan nilai tinggi (terutama CSP untuk XSS dan X-Frame-Options untuk clickjacking) yang melengkapi secure coding, pengetahuan berguna untuk memperkeras aplikasi web.

Key security headers

Example

Why they matter (defense in depth)

Mengapa ini penting

Pertanyaan terkait