Cek Tools Gratis Lainnya

Cek Header Keamanan Website

Periksa HTTPS, HSTS, CSP, dan header keamanan lain. Dapat nilai A+ sampai F plus cara memperbaikinya.

Memeriksa header keamanan...

Mohon tunggu sebentar, biasanya cuma beberapa detik.

Cukup baik

github.com

Skor 83 dari 100 · 7 lolos, 2 perlu diperbaiki, 1 belum ada

B

HTTPS aktif

Lolos

Website bisa dibuka lewat HTTPS.

Alihkan HTTP ke HTTPS

Lolos

Alamat http:// otomatis dialihkan ke https://.

Strict-Transport-Security (HSTS)

Lolos

HSTS aktif dengan masa berlaku 365 hari.

max-age=31536000; includeSubdomains; preload

Content-Security-Policy (CSP)

Perlu diperbaiki

CSP ada tapi masih longgar (mengandung unsafe-inline, unsafe-eval, atau wildcard). Perketat bertahap.

default-src 'none'; base-uri 'self'; child-src github.githubassets.com github.com/assets-cdn/worker/ github.com/assets/ gist.github.com/assets-cdn/worker/; connect-src 'self' uploads.github.com www.githubstatus.com co...

Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self'"
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self'" always;

Sesuaikan dengan sumber yang dipakai website (CDN, analytics, font). Uji dulu dengan Content-Security-Policy-Report-Only.

Perlindungan clickjacking

Lolos

Halaman dilindungi dari dibingkai (iframe) situs lain.

deny

X-Content-Type-Options

Lolos

Browser dilarang menebak tipe file (nosniff).

nosniff

Referrer-Policy

Lolos

Referrer-Policy diatur.

origin-when-cross-origin, strict-origin-when-cross-origin

Permissions-Policy

Belum ada

Permissions-Policy tidak ada, fitur browser seperti kamera dan lokasi tidak dibatasi.

Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Keamanan cookie

Perlu diperbaiki

1 dari 3 cookie kurang aman: _octo (tanpa HttpOnly).

3 cookie

Header edit Set-Cookie ^(.*)$ "$1; HttpOnly; Secure; SameSite=Lax"
proxy_cookie_flags ~ secure httponly samesite=lax;

Atau atur di konfigurasi aplikasi (mis. config/session.php di Laravel, php.ini session.cookie_*).

Tidak membocorkan versi server

Lolos

Versi server dan bahasa pemrograman tidak ditampilkan.

github.com

Apa saja yang diperiksa?

  • HTTPS dan pengalihan HTTP ke HTTPS: data pengunjung dienkripsi.
  • HSTS: browser dipaksa selalu memakai HTTPS.
  • Content-Security-Policy: membatasi sumber skrip, gambar, dan font yang boleh dimuat.
  • X-Frame-Options: mencegah halaman dibingkai situs lain (clickjacking).
  • X-Content-Type-Options, Referrer-Policy, Permissions-Policy: mengurangi kebocoran data dan penyalahgunaan fitur browser.
  • Cookie: atribut Secure, HttpOnly, dan SameSite.
  • Kebocoran versi server: versi software yang tampil bisa dimanfaatkan penyerang.

Butuh hosting atau VPS untuk website Anda? Lihat produk.

Pertanyaan yang sering diajukan

Apa itu header keamanan HTTP?

Header keamanan adalah instruksi yang dikirim server website ke browser, misalnya "selalu pakai HTTPS" (HSTS) atau "jangan izinkan halaman ini dibingkai situs lain" (X-Frame-Options). Header ini membantu mencegah serangan seperti clickjacking, penyisipan skrip (XSS), dan pencurian cookie.

Nilai berapa yang dianggap bagus?

Nilai A atau A+ berarti hampir semua header penting sudah terpasang. B masih cukup aman tapi ada yang bisa diperkuat. C ke bawah berarti ada banyak celah yang mudah ditutup, biasanya cukup dengan beberapa baris konfigurasi.

Bagaimana cara menambahkan header keamanan di cPanel?

Paling mudah lewat file .htaccess di folder public_html (untuk server Apache/LiteSpeed). Contoh kodenya ada di bagian "Cara memperbaiki" pada setiap hasil. Simpan, lalu cek ulang di sini.

Apakah menambah header bisa merusak website saya?

Kebanyakan aman, tapi Content-Security-Policy (CSP) yang terlalu ketat bisa memblokir skrip, font, atau gambar dari luar. Uji dulu dengan Content-Security-Policy-Report-Only, lalu perketat bertahap. HSTS sebaiknya diaktifkan setelah HTTPS berjalan di semua subdomain.

Apakah tool ini aman dipakai untuk website orang lain?

Tool hanya membaca header publik yang dikirim website ke semua pengunjung, sama seperti browser biasa. Tidak ada percobaan serangan atau pemindaian celah.

Dicek dari server Akunesia. Hanya header publik yang dibaca, isi halaman tidak diunduh. Hasil disimpan sementara 60 detik.

Tools Lainnya yang Mungkin Berguna

Cek Blacklist Domain & IP

Cek apakah domain atau IP-nya terdaftar di blacklist spam/malware publik (Spamhaus, SpamCop, SORBS, dan lainnya).

Cek Link Mencurigakan

Tempel link dari pesan atau SMS. Lihat tujuan akhirnya, umur domain, SSL, dan tanda-tanda penipuan seperti APK atau situs tiruan.

Cek DNS

Lihat record A, AAAA, CNAME, MX, NS, TXT, dan SOA dari domain apa pun.

Cek Kesehatan Email

Validasi SPF, DKIM, dan DMARC domain - bukan cuma nampilin record mentah, langsung dikasih tau apa yang kurang dan kenapa itu penting.