Cek Tools Gratis Lainnya

Cek Header Keamanan Website

Periksa HTTPS, HSTS, CSP, dan header keamanan lain. Dapat nilai A+ sampai F plus cara memperbaikinya.

Memeriksa header keamanan...

Mohon tunggu sebentar, biasanya cuma beberapa detik.

Perlu diperkuat

akunesia.co.id

Skor 58 dari 100 · 4 lolos, 2 perlu diperbaiki, 3 belum ada

C

HTTPS aktif

Lolos

Website bisa dibuka lewat HTTPS.

Alihkan HTTP ke HTTPS

Lolos

Alamat http:// otomatis dialihkan ke https://.

Strict-Transport-Security (HSTS)

Belum ada

Header HSTS tidak ada, browser belum dipaksa selalu memakai HTTPS.

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Aktifkan setelah HTTPS berjalan di semua subdomain.

Content-Security-Policy (CSP)

Perlu diperbaiki

CSP ada tapi belum membatasi sumber skrip (tidak ada default-src atau script-src), hanya mengatur hal lain seperti frame-ancestors.

frame-ancestors 'self';

Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self'"
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self'" always;

Sesuaikan dengan sumber yang dipakai website (CDN, analytics, font). Uji dulu dengan Content-Security-Policy-Report-Only.

Perlindungan clickjacking

Lolos

Halaman dilindungi dari dibingkai (iframe) situs lain.

SAMEORIGIN

X-Content-Type-Options

Belum ada

Header nosniff tidak ada, browser bisa salah menafsirkan tipe file yang diunggah.

Header always set X-Content-Type-Options "nosniff"
add_header X-Content-Type-Options "nosniff" always;

Referrer-Policy

Belum ada

Referrer-Policy tidak ada, alamat halaman (bisa berisi data) ikut terkirim ke situs lain.

Header always set Referrer-Policy "strict-origin-when-cross-origin"
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Permissions-Policy

Lolos

Akses fitur browser (kamera, lokasi, dll.) dibatasi.

private-state-token-redemption=(self "https://www.google.com" "https://www.gstatic.com" "https://recaptcha.net" "https://challenges.cloudflare.com" "https://hcaptcha.com"), private-state-token-issuance=(self "https://...

Keamanan cookie

Tidak berlaku

Halaman utama tidak mengirim cookie.

Tidak membocorkan versi server

Perlu diperbaiki

Versi software terlihat: X-Powered-By: PHP/8.3.35. Penyerang bisa mencocokkannya dengan celah yang diketahui.

X-Powered-By: PHP/8.3.35

ServerTokens Prod
Header unset X-Powered-By
server_tokens off;
proxy_hide_header X-Powered-By;

Di PHP: expose_php = Off.

Apa saja yang diperiksa?

  • HTTPS dan pengalihan HTTP ke HTTPS: data pengunjung dienkripsi.
  • HSTS: browser dipaksa selalu memakai HTTPS.
  • Content-Security-Policy: membatasi sumber skrip, gambar, dan font yang boleh dimuat.
  • X-Frame-Options: mencegah halaman dibingkai situs lain (clickjacking).
  • X-Content-Type-Options, Referrer-Policy, Permissions-Policy: mengurangi kebocoran data dan penyalahgunaan fitur browser.
  • Cookie: atribut Secure, HttpOnly, dan SameSite.
  • Kebocoran versi server: versi software yang tampil bisa dimanfaatkan penyerang.

Butuh hosting atau VPS untuk website Anda? Lihat produk.

Pertanyaan yang sering diajukan

Apa itu header keamanan HTTP?

Header keamanan adalah instruksi yang dikirim server website ke browser, misalnya "selalu pakai HTTPS" (HSTS) atau "jangan izinkan halaman ini dibingkai situs lain" (X-Frame-Options). Header ini membantu mencegah serangan seperti clickjacking, penyisipan skrip (XSS), dan pencurian cookie.

Nilai berapa yang dianggap bagus?

Nilai A atau A+ berarti hampir semua header penting sudah terpasang. B masih cukup aman tapi ada yang bisa diperkuat. C ke bawah berarti ada banyak celah yang mudah ditutup, biasanya cukup dengan beberapa baris konfigurasi.

Bagaimana cara menambahkan header keamanan di cPanel?

Paling mudah lewat file .htaccess di folder public_html (untuk server Apache/LiteSpeed). Contoh kodenya ada di bagian "Cara memperbaiki" pada setiap hasil. Simpan, lalu cek ulang di sini.

Apakah menambah header bisa merusak website saya?

Kebanyakan aman, tapi Content-Security-Policy (CSP) yang terlalu ketat bisa memblokir skrip, font, atau gambar dari luar. Uji dulu dengan Content-Security-Policy-Report-Only, lalu perketat bertahap. HSTS sebaiknya diaktifkan setelah HTTPS berjalan di semua subdomain.

Apakah tool ini aman dipakai untuk website orang lain?

Tool hanya membaca header publik yang dikirim website ke semua pengunjung, sama seperti browser biasa. Tidak ada percobaan serangan atau pemindaian celah.

Dicek dari server Akunesia. Hanya header publik yang dibaca, isi halaman tidak diunduh. Hasil disimpan sementara 60 detik.

Tools Lainnya yang Mungkin Berguna

Cek Kesehatan Email

Validasi SPF, DKIM, dan DMARC domain - bukan cuma nampilin record mentah, langsung dikasih tau apa yang kurang dan kenapa itu penting.

Cek Propagasi DNS

Bandingkan jawaban beberapa server DNS publik untuk melihat apakah perubahan DNS sudah menyebar.

Cek Blacklist Domain & IP

Cek apakah domain atau IP-nya terdaftar di blacklist spam/malware publik (Spamhaus, SpamCop, SORBS, dan lainnya).

Cek WHOIS Domain

Cek tanggal registrasi, kedaluwarsa, registrar, dan nameserver dari domain apa pun.