Hai para master, cuma mau sharing aja nih.

Kadang buat web tapi lupa buat security header, banyak sih bertebaran dimana-mana ini tipsnya. Sebelum ditegor sama Security di klien agan ada baiknya dibuat dulu ya.

Bagi para master yang mau share security tips ya silahken, dan ditunggu koreksinya dari para master sekalian.

pertama cek web kamu di SINI nanti akan ada hasil seperti ini




ini salah satu web buat check security kalian, hebatnya pake nilai segala lagi ahahaha. Tapi inget apapun nilai yang keluar jangan selalu jadikan patokan, karena security measurement tiap klien itu beda-beda.

di folder web agan-agan kan ada file .htaccess ingat ya jangan sembarangan ngeditnya bisa berantakan semua. Ini script standar untuk security header dan cookie yang ane punya, silahkan dicontek tapi ane ga tanggung jawab kalau tiba-tiba 403

# untuk enable rewrite 

RewriteEngine On 

 

# yang ini supaya server token sama signature (e.g apache/2.20 (Ubuntu) server at localhost port 80) hilang

ServerTokens Prod 

ServerSignature Off 





# supaya parent index kamu ga bisa dibrowse (e.g www.domainkamu.com/images)

Options -Indexes





# yang ini untuk clickjacking (ada 3 opsi DENY, SAMEORIGIN, dan ALLOW-FROM)

Header set x-frame-options: SAMEORIGIN



# melakukan proteksi XSS ( 1=enable, 2=disable )

# token mode=block mencegah browser kamu (IE8 + Webkit) untuk render possible XSS attack

# ada yang bilang ini hoax, tapi berdasarkan OWASP emang gini codenya jadi CMIIW

Header set X-XSS-Protection: 1; mode=block



# mencegah sniff dari content yang diupload ke website

Header set X-Content-Type-Options: nosniff



# ini penting, penting banget malah, ini bisa mencegah cookie kamu dicuri SECURE FLAG IS A MUST

Header set Set-Cookie HttpOnly;Secure



# sama sih sama yang diatas 

Header edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure

Header always edit Set-Cookie (.*) "$1; Secure"



# ini mencegah versi PHP kamu keluar pas scanning HTTP Header Response

Header always unset "X-Powered-By" 

Header unset "X-Powered-By"

nah dari situ bakal jadi gini :



Security dari ga cuma dari header, dari setiap input form juga bisa berbahaya, jadi jangan segan buat sharing, btw ane pakenya CI jadi mungkin ntar ada lanjutan soal security dari config.php dan Security.php CI

Sekian dulu, danke... maaf2 ya kalau masih belepotan, jarang buat trit heheheh