Cek Security Headers
Masukkan domain website Anda. Dalam beberapa detik Anda tahu header keamanan mana yang sudah terpasang, mana yang belum, dan cara memperbaikinya.
Apa yang kami periksa
Dua belas hal yang bisa dilihat siapa saja dari halaman depan website Anda. Nilai A+ sampai F hanya dihitung dari enam header keamanan.
Koneksi
HTTPS
Tanpa HTTPS, data yang dikirim dan dibaca pengunjung bisa diintip atau diubah di tengah jalan.
Pengalihan HTTP ke HTTPS
Pengunjung yang mengetik alamat tanpa https:// harus diarahkan ke versi yang aman, bukan berhenti di versi biasa.
Masa berlaku sertifikat
Kalau sertifikat kedaluwarsa, browser menampilkan peringatan satu layar penuh dan kebanyakan pengunjung langsung pergi.
Header keamanan (menentukan nilai)
Strict-Transport-Security (HSTS)
Memberi tahu browser untuk selalu memakai HTTPS di website Anda, walaupun ada yang mengeklik tautan http://.
Content-Security-Policy
Membatasi skrip dan file apa saja yang boleh dimuat halaman, jadi kode sisipan jauh lebih sulit berjalan.
X-Frame-Options
Mencegah website lain menampilkan halaman Anda di dalam frame untuk menjebak pengunjung mengeklik sesuatu (clickjacking).
X-Content-Type-Options
Mencegah browser menebak-nebak jenis file lalu menjalankan file yang bukan skrip sebagai skrip.
Referrer-Policy
Mengatur seberapa banyak alamat halaman Anda ikut terkirim ke website lain saat pengunjung mengeklik tautan.
Permissions-Policy
Mematikan fitur browser yang tidak dipakai website Anda, seperti kamera, mikrofon, dan lokasi.
Hal lain yang terlihat
Versi software terlihat
Nomor versi memberi tahu penyerang celah mana yang sudah dikenal dan tinggal dicoba.
Pengaturan cookie
Cookie tanpa Secure dan HttpOnly bisa bocor lewat koneksi biasa atau dibaca oleh skrip sisipan.
Konten campuran (mixed content)
Skrip, CSS, atau gambar yang dimuat lewat http:// melemahkan halaman HTTPS, dan browser bisa memblokirnya.