Cek Tools Gratis Lainnya

Cek Header Keamanan Website

Periksa HTTPS, HSTS, CSP, dan header keamanan lain. Dapat nilai A+ sampai F plus cara memperbaikinya.

Memeriksa header keamanan...

Mohon tunggu sebentar, biasanya cuma beberapa detik.

Rentan

google.com

Skor 38 dari 100 · 3 lolos, 1 perlu diperbaiki, 6 belum ada

F

HTTPS aktif

Lolos

Website bisa dibuka lewat HTTPS.

Alihkan HTTP ke HTTPS

Belum ada

Alamat http:// tidak dialihkan ke HTTPS, pengunjung bisa tetap memakai versi tanpa enkripsi.

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
return 301 https://$host$request_uri;

Taruh di .htaccess (Apache) atau blok server port 80 (Nginx).

Strict-Transport-Security (HSTS)

Belum ada

Header HSTS tidak ada, browser belum dipaksa selalu memakai HTTPS.

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Aktifkan setelah HTTPS berjalan di semua subdomain.

Content-Security-Policy (CSP)

Belum ada

Content-Security-Policy tidak ada, tidak ada pembatasan sumber skrip yang bisa dimuat halaman.

Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self'"
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self'" always;

Sesuaikan dengan sumber yang dipakai website (CDN, analytics, font). Uji dulu dengan Content-Security-Policy-Report-Only.

Perlindungan clickjacking

Lolos

Halaman dilindungi dari dibingkai (iframe) situs lain.

SAMEORIGIN

X-Content-Type-Options

Belum ada

Header nosniff tidak ada, browser bisa salah menafsirkan tipe file yang diunggah.

Header always set X-Content-Type-Options "nosniff"
add_header X-Content-Type-Options "nosniff" always;

Referrer-Policy

Belum ada

Referrer-Policy tidak ada, alamat halaman (bisa berisi data) ikut terkirim ke situs lain.

Header always set Referrer-Policy "strict-origin-when-cross-origin"
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Permissions-Policy

Belum ada

Permissions-Policy tidak ada, fitur browser seperti kamera dan lokasi tidak dibatasi.

Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Keamanan cookie

Perlu diperbaiki

2 dari 3 cookie kurang aman: __Secure-STRP (tanpa HttpOnly); NID (tanpa Secure, SameSite).

3 cookie

Header edit Set-Cookie ^(.*)$ "$1; HttpOnly; Secure; SameSite=Lax"
proxy_cookie_flags ~ secure httponly samesite=lax;

Atau atur di konfigurasi aplikasi (mis. config/session.php di Laravel, php.ini session.cookie_*).

Tidak membocorkan versi server

Lolos

Versi server dan bahasa pemrograman tidak ditampilkan.

gws

Apa saja yang diperiksa?

  • HTTPS dan pengalihan HTTP ke HTTPS: data pengunjung dienkripsi.
  • HSTS: browser dipaksa selalu memakai HTTPS.
  • Content-Security-Policy: membatasi sumber skrip, gambar, dan font yang boleh dimuat.
  • X-Frame-Options: mencegah halaman dibingkai situs lain (clickjacking).
  • X-Content-Type-Options, Referrer-Policy, Permissions-Policy: mengurangi kebocoran data dan penyalahgunaan fitur browser.
  • Cookie: atribut Secure, HttpOnly, dan SameSite.
  • Kebocoran versi server: versi software yang tampil bisa dimanfaatkan penyerang.

Butuh hosting atau VPS untuk website Anda? Lihat produk.

Pertanyaan yang sering diajukan

Apa itu header keamanan HTTP?

Header keamanan adalah instruksi yang dikirim server website ke browser, misalnya "selalu pakai HTTPS" (HSTS) atau "jangan izinkan halaman ini dibingkai situs lain" (X-Frame-Options). Header ini membantu mencegah serangan seperti clickjacking, penyisipan skrip (XSS), dan pencurian cookie.

Nilai berapa yang dianggap bagus?

Nilai A atau A+ berarti hampir semua header penting sudah terpasang. B masih cukup aman tapi ada yang bisa diperkuat. C ke bawah berarti ada banyak celah yang mudah ditutup, biasanya cukup dengan beberapa baris konfigurasi.

Bagaimana cara menambahkan header keamanan di cPanel?

Paling mudah lewat file .htaccess di folder public_html (untuk server Apache/LiteSpeed). Contoh kodenya ada di bagian "Cara memperbaiki" pada setiap hasil. Simpan, lalu cek ulang di sini.

Apakah menambah header bisa merusak website saya?

Kebanyakan aman, tapi Content-Security-Policy (CSP) yang terlalu ketat bisa memblokir skrip, font, atau gambar dari luar. Uji dulu dengan Content-Security-Policy-Report-Only, lalu perketat bertahap. HSTS sebaiknya diaktifkan setelah HTTPS berjalan di semua subdomain.

Apakah tool ini aman dipakai untuk website orang lain?

Tool hanya membaca header publik yang dikirim website ke semua pengunjung, sama seperti browser biasa. Tidak ada percobaan serangan atau pemindaian celah.

Dicek dari server Akunesia. Hanya header publik yang dibaca, isi halaman tidak diunduh. Hasil disimpan sementara 60 detik.

Tools Lainnya yang Mungkin Berguna

Cek Hosting Website

Cari tahu sebuah website memakai hosting apa: penyedia, lokasi server, IP, nameserver, penyedia email, dan apakah memakai Cloudflare/CDN.

Cek Kesehatan Email

Validasi SPF, DKIM, dan DMARC domain - bukan cuma nampilin record mentah, langsung dikasih tau apa yang kurang dan kenapa itu penting.

Cek IP Saya

Lihat alamat IP publik, lokasi, ISP, serta info browser dan perangkat yang kamu pakai.

Cek Website Down

Cek apakah website bisa dibuka: status online, kode HTTP, waktu respons, dan rantai redirect.