Apakah HTTP security headers?

Question

Accepted Answer

**HTTP security headers** ialah header respons yang mengarahkan pelayar (browser) untuk menguatkuasakan perlindungan keselamatan — membantu mempertahankan terhadap serangan seperti XSS, clickjacking, dan protocol downgrade. Ia merupakan lapisan pertahanan yang mudah dan bernilai untuk aplikasi web.

## Header keselamatan utama

```text
CONTENT-SECURITY-POLICY (CSP) → controls what resources/scripts can load/run → a strong
  defense against XSS (restrict script sources; block inline scripts) — the most powerful
STRICT-TRANSPORT-SECURITY (HSTS) → force HTTPS (browser refuses HTTP) → prevents
  downgrade/SSL-stripping attacks
X-CONTENT-TYPE-OPTIONS: nosniff → stop MIME-type sniffing (prevents some attacks)
X-FRAME-OPTIONS / CSP frame-ancestors → prevent CLICKJACKING (block embedding in iframes)
REFERRER-POLICY → control how much referrer info is sent (privacy)
PERMISSIONS-POLICY → control access to browser features (camera, geolocation, etc.)
```

## Contoh

```text
Content-Security-Policy: default-src 'self'; script-src 'self'
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
```

## Mengapa ia penting (defense in depth)

```text
✓ EASY to add (configure on the server/proxy) → significant protection for little effort
✓ DEFENSE IN DEPTH → an extra layer (e.g. CSP mitigates XSS even if escaping is missed)
✓ CLICKJACKING protection (X-Frame-Options), forced HTTPS (HSTS), etc.
⚠️ Not a substitute for secure coding (fix the root causes too); CSP needs careful config
→ A valuable, low-effort security improvement for web apps. (Tools/scanners check these.)
```

## Mengapa ia penting

Memahami HTTP security headers adalah bernilai kerana ia menyediakan **lapisan pertahanan yang mudah dan berkesan untuk aplikasi web**, jadi ia merupakan pengetahuan keselamatan praktikal yang berguna.

Security headers mengarahkan pelayar untuk menguatkuasakan perlindungan terhadap serangan lazim, dan memahami yang utama adalah bernilai. **Content-Security-Policy (CSP)** ialah yang paling berkuasa — mengawal sumber dan skrip yang boleh dimuat dan dijalankan, menyediakan pertahanan kukuh terhadap XSS (malah mengurangkannya apabila output escaping terlepas). **Strict-Transport-Security (HSTS)** memaksa HTTPS, mencegah serangan downgrade dan SSL-stripping. **X-Frame-Options** (atau CSP frame-ancestors) mencegah **clickjacking** dengan menyekat halaman daripada dibenamkan dalam iframe. **X-Content-Type-Options: nosniff**, Referrer-Policy, dan Permissions-Policy menambah perlindungan lanjut.

Memahami header ini dan apa yang dilindunginya merupakan pengetahuan praktikal.

Memahami **mengapa ia penting** adalah nilai utama: ia **mudah ditambah** (dikonfigurasikan pada pelayan/proxy) namun menyediakan perlindungan ketara dengan sedikit usaha, dan ia melaksanakan **defense in depth** (lapisan tambahan — cth. CSP mengurangkan XSS walaupun kesilapan pengekodan membenarkannya).

Memahami kaveat penting bahawa **header bukan pengganti pengekodan selamat** (anda masih perlu membetulkan punca utama; CSP memerlukan konfigurasi yang teliti) mencerminkan pemahaman yang seimbang — header melengkapi, bukan menggantikan, pembangunan selamat.

Security headers merupakan peningkatan bernilai dengan usaha rendah yang banyak laman kurang menggunakannya, dan alat/pengimbas lazimnya menyemak kewujudannya.

Memandangkan security headers menyediakan pertahanan defense-in-depth yang mudah dan berkesan untuk aplikasi web (melindungi terhadap XSS, clickjacking, serangan downgrade) dengan sedikit usaha, dan memandangkan memahami header utama dan nilainya berguna untuk meningkatkan keselamatan aplikasi web, memahami HTTP security headers adalah pengetahuan keselamatan yang bernilai dan relevan secara praktikal — lapisan pertahanan web bernilai tinggi yang berusaha rendah (terutamanya CSP untuk XSS dan X-Frame-Options untuk clickjacking) yang melengkapi pengekodan selamat, pengetahuan berguna untuk mengukuhkan aplikasi web.